CVE-2026-50751-Scripts-de-Mitigación

Existen múltiples técnicas de mitigación que puedes usar desde el sk; https://support.checkpoint.com/results/sk/sk185033

1. Deshabilitar el soporte de clientes heredados.
2. Configurar Acceso Remoto para usar solo ike v2

Hay scripts para ambos cambios; Por favor, lea https://support.checkpoint.com/results/sk/sk166415 para entender los clientes ikev2 compatibles

SMS

Si desea hacer el paso 1 y deshabilitar los clientes heredados, descargue disable_legacy_clients.SMS.sh y ejecútelo desde la línea de comandos de su administrador. Asegúrese de usar chmod +x disable_legacy_clients.SMS.sh para hacerlo ejecutable. TENGA EN CUENTA QUE ESTO UTILIZA OBJETOS GENÉRICOS Y CONLLEVA EL MISMO RIESGO QUE DBEDIT

Si simplemente desea cambiar a ike v2, puede ejecutar este sencillo comando de una línea para hacerlo: mgmt_cli -r true set global-properties remote-access.vpn-authentication-and-encryption.encryption-method “ike_v2_only"

MDS

Este script está diseñado para entornos Check Point Multi-Domain Security Management. Recorre cada Dominio configurado en un servidor MDS y actualiza el cambio de cliente heredado o de ikev v2 como el SMS anterior.

Propósito

Nuevamente, hay dos scripts:

1. disable_legacy_clients_MDS.sh deshabilitará la casilla de cliente heredado en cada objeto de gateway en cada dominio de su MDS. Los recorre todos a la vez, por lo que puede tardar un poco. Nuevamente... TENGA EN CUENTA QUE ESTO UTILIZA OBJETOS GENÉRICOS Y CONLLEVA EL MISMO RIESGO QUE DBEDIT
2. switch_ikev2_mds.sh El script aplica el siguiente cambio de Management API en cada Dominio: mgmt_cli -r true set global-properties remote-access.vpn-authentication-and-encryption.encryption-method "ike_v2_only"

Requisitos

Ejecutar desde el servidor de gestión MDS API de Gestión de Check Point habilitada mgmt_cli debe estar disponible en el shell El script debe ser ejecutado por un administrador familiarizado con entornos MDS Asegúrese de usar "chmod +x script_name.sh" para hacer el script ejecutable. Ejecute con ./script_name.sh.sh

Notas Importantes

Este script publica los cambios automáticamente usando -r true. Todavía se requiere una instalación de política en los gateways afectados para que el cambio surta efecto. Pruebe en un laboratorio o en una ventana de mantenimiento antes de ejecutar en producción. Por favor, lea https://support.checkpoint.com/results/sk/sk166415 para entender los clientes ikev2 compatibles

Revise la lista de Dominios antes de aplicar cambios de manera general. Ejemplo de Comando Usado Por Dominio mgmt_cli -r true -d "<DOMAIN_NAME>" set global-properties remote-access.vpn-authentication-and-encryption.encryption-method "ike_v2_only"

Verificación Posterior al Cambio

Puede verificar el valor en un Dominio con:

mgmt_cli -r true -d "<DOMAIN_NAME>" show global-properties details-level full --format json | jq '.["remote-access"]["vpn-authentication-and-encryption"]["encryption-method"]'

Resultado esperado:

"ike_v2_only"

Descargo de Responsabilidad

Úselo bajo su propio riesgo. Siempre valide la sintaxis del comando con respecto a su versión específica de Check Point y el esquema de Management API antes de ejecutarlo en producción.