CVE Web Check

Un'applicazione web locale basata su approvazione per scansionare e correggere la potenziale esposizione a Check Point CVE-2026-50751 e CVE-2026-50752 con comandi affidabili dell'API di gestione Check Point.

Questo strumento non è creato né supportato da Check Point e deve essere utilizzato a proprio rischio. La correzione è temporanea. Check Point consiglia di applicare rapidamente le patch fornite per ciascun CVE nei Check Point Security Advisories.

L'app viene eseguita localmente, accede a un Check Point Security Management Server o MDS, scansiona la configurazione VPN pertinente, mostra esattamente dove potrebbe essere necessaria la correzione, consente a un operatore di approvare le modifiche, applica le modifiche tramite l'API di gestione e può pubblicare la sessione di gestione. La policy deve comunque essere installata dopo la pubblicazione affinché le modifiche di correzione abbiano effetto sui gateway.

Cosa Controlla

Scansione e Correzione della Proprietà Globale IKE Version (CVE-2026-50751)

Scansiona la proprietà globale Remote Access VPN di SMS:

remote-access.vpn-authentication-and-encryption.encryption-method

Se il valore corrente non è ike_v2_only, l'app può approvare e applicare una modifica per impostare la proprietà a:

ike_v2_only

Questa scansione è intesa a identificare l'esposizione in cui lo scambio di chiavi IKEv1 deprecato è ancora globalmente consentito per l'accesso remoto VPN e l'accesso mobile. IKEv1 è deprecato e non è più una best practice del settore. Questa modifica può influenzare i client VPN più vecchi. Consultare SK166415 per ulteriori indicazioni da Check Point.

Scansione e Correzione del Supporto per Client Legacy (CVE-2026-50751)

Scansiona i gateway semplici e controlla per ogni oggetto generico del gateway il realm VPN all'interno di:

realmsForBlades

L'app segnala se i client legacy sono supportati o disabilitati. Quando la correzione viene approvata, imposta il valore disabled dell'oggetto proprietario del realm VPN a true.

Testo risultante per l'utente:

I client legacy sono disabilitati
I client legacy sono supportati

Consentire i client legacy può preservare il supporto per IKEv1, che non è più una best practice del settore. Si consiglia di disabilitare questa impostazione a meno che i client legacy non siano ancora necessari. Se i client legacy sono necessari, pianificare la loro migrazione a un client VPN moderno più sicuro.

Scansione e Correzione delle Community VPN Site-to-Site (CVE-2026-50752)

Scansiona entrambi i tipi di community VPN site-to-site di Check Point:

Community a stella
Community a maglia

L'app segnala una community VPN solo quando vengono osservate tutte le seguenti condizioni:

La VPN site-to-site è abilitata.
La community VPN utilizza IKEv1.
I gateway che partecipano alla community VPN utilizzano l'autenticazione basata su certificati.

Per le community a stella, l'app mostra separatamente i gateway centrali e i gateway satellitari. I nomi dei gateway sono contrassegnati come gestiti localmente o gestiti esternamente quando i dati dell'API forniscono informazioni sufficienti sul tipo di oggetto.

Per le community a maglia, l'app estrae i nomi dei gateway dalla lista gateways della community. Le community a maglia non includono la gestione dei gateway gestiti esternamente in questo strumento, quindi quel campo viene mostrato come non applicabile.

Quando la correzione viene approvata, l'app tenta di impostare il metodo di crittografia della community VPN solo su IKEv2. Le community a stella utilizzano:

set-vpn-community-star

Le community a maglia utilizzano:

set-vpn-community-meshed

Se una community a stella selezionata include gateway gestiti esternamente, l'app avvisa prima di applicare la modifica. È necessario assicurarsi che la corrispondente modifica solo IKEv2 venga apportata anche sul lato del gateway gestito esternamente.

Flusso di Lavoro

Accedere con un utente dell'API di gestione Check Point.
Fare clic su Scansiona Configurazione Check Point.
Esaminare la proprietà globale SMS, i risultati sui gateway dei client legacy e i risultati sulle community VPN site-to-site.
Approvare solo le modifiche che si desidera applicare.
Fare clic sul pulsante di applicazione corrispondente.
Pubblicare dallo strumento o deselezionare Pubblica dopo applicazione riuscita se si desidera ispezionare e pubblicare manualmente.
Installare la policy dopo la pubblicazione affinché le modifiche lato gateway abbiano effetto.

Note sulla Sicurezza

L'app predefinisce HTTPS quando si connette al server di gestione Check Point.
Non inserire il server di gestione come http://...; ciò invierebbe il login dell'API Check Point in chiaro su HTTP.
Il browser comunica con il backend locale tramite http://127.0.0.1:3000.
Il nome utente e la password vengono inviati dal browser al backend locale solo su localhost.
Il backend invia il nome utente e la password a Check Point tramite la richiesta di login dell'API di gestione.
Le password non vengono registrate dall'app.
L'ID di sessione Check Point viene memorizzato solo nella memoria del server per la durata del processo Node locale.
L'opzione Consenti certificato autofirmato mantiene la crittografia TLS ma disabilita la convalida del certificato. Utilizzarla solo quando necessario.

Comandi API Utilizzati

Il backend funge da proxy per questi comandi dell'API di gestione Check Point:

login
logout
publish
show-simple-gateways
show-generic-object
set-generic-object
show-global-properties
set-global-properties
show-vpn-communities-star
show-vpn-communities-meshed
set-vpn-community-star
set-vpn-community-meshed

Installazione ed Esecuzione

Questo progetto non ha dipendenze npm di terze parti. Richiede solo Node.js 18 o successivo quando eseguito dal sorgente.

macOS dal Sorgente

Installare Node.js 18 o successivo da nodejs.org o Homebrew.
```
brew install node
```
Scaricare o clonare questo progetto.
```
git clone <url-repository>
cd CVE-Web-Check
```
Avviare l'app locale.
```
npm start
```
Poiché non ci sono dipendenze npm, funziona anche:
```
node server.js
```
Aprire l'app.
```
http://127.0.0.1:3000
```

Windows dal Sorgente

Installare Node.js 18 o successivo da nodejs.org.
Scaricare ed estrarre lo ZIP del progetto, o clonare il repository con Git per Windows.
```
git clone <url-repository>
cd CVE-Web-Check
```
Avviare l'app locale.
```
npm start
```
Poiché non ci sono dipendenze npm, funziona anche:
```
node server.js
```
Aprire l'app in un browser.
```
http://127.0.0.1:3000
```

Cambio Opzionale della Porta

Per impostazione predefinita, l'app ascolta su 127.0.0.1:3000. Per utilizzare un'altra porta:

macOS:

PORT=3100 npm start

Windows PowerShell:

$env:PORT = "3100"
npm start

Quindi aprire:

http://127.0.0.1:3100

Risoluzione dei Problemi

Il server stampa le diagnostiche delle richieste sul terminale. Un tentativo di login riuscito mostrerà righe simili a:

Local API request requestId=abc12345 route=/api/login
Login request received target=https://mgmt.example.com/web_api/login user=admin
Check Point API request starting command=login target=https://mgmt.example.com/web_api/login

Se il browser mostra un errore di login con un ID richiesta ma la cattura di pacchetti non mostra alcun tentativo in uscita verso il server di gestione, confrontare il valore target= del terminale con il filtro di cattura pacchetti.

Se non c'è alcuna riga Local API request, il browser non sta raggiungendo il backend locale. Verificare che l'app sia in esecuzione e di aver aperto l'URL locale corretto.

CheckPoint-CVE-Webscanner

Più Popolari