CVE-2026-50751-Mitigation-Scripts

Il existe plusieurs techniques d'atténuation que vous pouvez utiliser à partir du sk ; https://support.checkpoint.com/results/sk/sk185033

1. Désactivez la prise en charge des clients legacy.
2. Configurez l'accès distant pour n'utiliser que ike v2

Des scripts sont disponibles pour chacun de ces changements ; Veuillez lire https://support.checkpoint.com/results/sk/sk166415 pour comprendre les clients ikev2 pris en charge

SMS

Si vous souhaitez faire le point 1 et désactiver les clients legacy, téléchargez disable_legacy_clients.SMS.sh et exécutez-le depuis la ligne de commande de votre manager. Assurez-vous d'utiliser chmod +x disable_legacy_clients.SMS.sh pour le rendre exécutable. VEUILLEZ NOTER QUE CELA UTILISE DES OBJETS GÉNÉRIQUES ET COMPORTE LE MÊME RISQUE QUE DBEDIT

Si vous souhaitez simplement passer à ike v2, vous pouvez exécuter cette simple commande en une ligne pour ce faire ; mgmt_cli -r true set global-properties remote-access.vpn-authentication-and-encryption.encryption-method “ike_v2_only"

MDS

Ce script est destiné aux environnements Check Point Multi-Domain Security Management. Il parcourt chaque domaine configuré sur un serveur MDS et applique soit la modification relative aux clients legacy, soit le passage à ikev v2, comme le script SMS ci-dessus.

Objectif

Encore une fois, il y a deux scripts ;

1. disable_legacy_clients_MDS.sh désactivera la case à cocher « legacy client » sur chaque objet passerelle de chaque domaine de votre MDS. Il les parcourt tous d'un coup, cela peut donc prendre un peu de temps. Encore une fois... VEUILLEZ NOTER QUE CELA UTILISE DES OBJETS GÉNÉRIQUES ET COMPORTE LE MÊME RISQUE QUE DBEDIT
2. switch_ikev2_mds.sh Le script applique la modification Management API suivante dans chaque domaine : mgmt_cli -r true set global-properties remote-access.vpn-authentication-and-encryption.encryption-method "ike_v2_only"

Prérequis

À exécuter depuis le serveur de gestion MDS API de gestion Check Point activée mgmt_cli doit être disponible dans le shell Le script doit être exécuté par un administrateur familiarisé avec les environnements MDS Assurez-vous d'utiliser "chmod +x script_name.sh" pour rendre le script exécutable. Exécutez avec ./script_name.sh.sh

Remarques importantes

Ce script publie automatiquement les modifications à l'aide de -r true. Une installation de politique est toujours requise sur les passerelles concernées pour que la modification prenne effet. Testez dans un laboratoire ou une fenêtre de maintenance avant d'exécuter en production. Veuillez lire https://support.checkpoint.com/results/sk/sk166415 pour comprendre les clients ikev2 pris en charge

Passez en revue la liste des domaines avant d'appliquer les modifications à grande échelle. Exemple de commande utilisée par domaine mgmt_cli -r true -d "<DOMAIN_NAME>" set global-properties remote-access.vpn-authentication-and-encryption.encryption-method "ike_v2_only" Vérification après modification

Vous pouvez vérifier la valeur dans un domaine avec :

mgmt_cli -r true -d "<DOMAIN_NAME>" show global-properties details-level full --format json | jq '.["remote-access"]["vpn-authentication-and-encryption"]["encryption-method"]'

Résultat attendu :

"ike_v2_only"

Avis de non-responsabilité

Utilisation à vos propres risques. Validez toujours la syntaxe des commandes par rapport à votre version spécifique de Check Point et au schéma de l'API de gestion avant d'exécuter en production.