CVE-2026-85102 — Check Point における未認証 VPN トンネルの確立

CVE-2026-85102 を悪用し、IKE 証明書チェーンの検証をバイパスすることで、Check Point Security Gateway 上に未認証の VPN トンネルを確立します。

Check Point 公式アドバイザリ: sk1000117

脆弱性

CVE-2026-85102 — VPN 証明書チェーン検証のバイパス

製品: Check Point Security Gateway、Check Point Spark Firewall 影響を受けるバージョン: R81.20、R82、R82.10 (Bundle T24 より前)、R80-R81.10 (すべて EoS) 影響なし: R82.20
コンポーネント: libcpcert.so — fwKeyHolder_imp::IsChainTrusted()
根本原因: IsChainTrusted() は CanonizeChain() を呼び出しますが、その戻り値を無視します。チェーンの正規化が失敗した場合でも、関数は TRUSTED を返します。

悪用方法: 攻撃者は以下を実行できます:

1. ターゲット (ポート 18190 または 443) から ICA 中間証明書を抽出する
2. ICA の発行者 DN を使用してリーフ証明書を偽造する
3. ICA 証明書の署名を破損させて CanonizeChain() の失敗を引き起こす
4. 偽造された証明書チェーンが依然として信頼済みとして受け入れられる
5. 有効な認証情報なしで IKE 認証を完了する

リポジトリ構成

CVE-2026-85102.py   # CVE-2026-85102: VPN tunnel establishment (auth bypass)
cp_postex.py             # Post-exploitation helper (tunnel management, recon)

前提条件

攻撃マシンの要件

• OS: Linux（Ubuntu/Debian/Kali 推奨）
• 権限: root または sudo（カーネル IPsec SA 設定のため）
• Python: 3.8 以降
• 依存関係: pip install cryptography
• ツール: openssl、iproute2（ip コマンド）、nc（netcat）

ターゲットの要件

• Check Point Security Gateway R81.20、R82、または R82.10
• Pre-Bundle T24
• VPN ブレードが有効で、Remote Access コミュニティが設定済み
• 少なくとも 1 つの VPN ユーザー名を把握していること（例: testuser）
• 攻撃者から UDP/500 および TCP/443 ポートにアクセス可能であること

使用方法

VPN トンネルの確立

# Establish tunnel with certificate bypass
sudo python3 CVE-2026-85102.py<target_ip> -u <vpn_username>
# Output includes Office Mode IP, e.g., 172.16.10.3

# Clean up tunnel
sudo python3 CVE-2026-85102.py--cleanup

ポストエクスプロイテーション・ヘルパー

# Establish tunnel and save state
sudo python3 cp_postex.py tunnel up <target_ip> -u <vpn_username>

# Check tunnel status
sudo python3 cp_postex.py tunnel status

# Scan gateway ports through tunnel
sudo python3 cp_postex.py recon scan
sudo python3 cp_postex.py recon scan -p 80,443,18190-18208

# Sweep internal networks through tunnel
sudo python3 cp_postex.py recon sweep 192.168.1.0/24
sudo python3 cp_postex.py recon sweep 192.168.1.0/24 -p 22

# Tear down tunnel
sudo python3 cp_postex.py tunnel down
sudo python3 cp_postex.py tunnel down -f  # Flush all xfrm state

パラメータ

パラメータ	説明
<target_ip>	Check Point ゲートウェイの IP
-u <username>	VPN ユーザー名（デフォルト: testuser）
-l <local_ip>	マルチインターフェースシステム向けの手動ローカル IP
-c <cert_host>	ICA 証明書抽出用の代替ホスト
--cleanup	トンネル設定を削除

影響

• 攻撃ベクトル: ネットワーク（インターネットから到達可能）
• 攻撃の複雑さ: 低（完全に自動化）
• 必要な権限: なし
• ユーザー操作: なし
• 機密性への影響: 高（保護されたネットワークへのアクセス）
• 整合性への影響: 中（トンネル経由でトラフィックを変更可能）
• 可用性への影響: 低
• CVSS 3.1: 9.8（Critical）

検出

証明書ベースの Mobile Access ログインにおける異常なログを確認します。SmartConsole/Spark Management で Logs & Monitor / Logs & Events に移動し、2026年9月12日以降のイベントを検索します:

product: "Mobile Access" AND action: "Log In" AND "Certificate"

認識されていないユーザー、クライアント、または送信元 IP アドレスのイベントを検査します。

観測された不審な証明書サブジェクト:

• CN=vpn,OU=users,O=global
• CN=vpn-user,OU=users,O=global
• CN=vpnuser,OU=users,O=global

修復

CVE-2026-85102 の修正オプション

オプション 1: Check Point LivePatch（推奨）

LivePatch Take 26（BUNDLE_URGENT_SECURITY_UPDATE）をインストールします:

• R82.10: Take 26
• R82: Take 26
• R81.20: Take 26

インストールを検証します:

# Check LivePatch status
cplp list

# Expected output includes:
# cpcert:cpca*    CVE-2026-85102 CVE-2026-85103
# cpcert:iked*    CVE-2026-85102 CVE-2026-85103
# cpcert:vpn*     CVE-2026-85102 CVE-2026-85103
# cpcert:vpnrad*  CVE-2026-85102 CVE-2026-85103
# cpcert_cprid:cprid* CVE-2026-85102 CVE-2026-85103

オプション 2: Jumbo Hotfix Accumulator

• R82.10: Take 44 以降
• R82: Take 126 以降
• R81.20: Take 166 以降
• R81.10: Take 190 以降

Spark Firewalls

• Spark R82.00.10: Build 2325 以降
• Spark R81.10.17: Build 4968 以降

パッチの詳細 (CVE-2026-85102)

この修正は libcpcert.so を変更します:

// IsChainTrusted: Check CanonizeChain return value
result = CanonizeChain(this, trusted_ca, sorted, out, i, trust_type);
if (!result) {
    trusted_ca = NULL;
}
return trusted_ca;

// CanonizeChain: Check intermediate operation returns
if (!CopyChain(...)) return NULL;
if (!TruncateChain(...)) return NULL;

緩和策 (パッチを適用できない場合)

サイトツーサイト VPN の場合

暗黙の VPN ルールを無効化し、特定のピア IP アドレスに対して UDP/500 および UDP/4500 の VPN アクセスを手動で定義してください。sk179346 を参照してください。

リモートアクセス VPN の場合

リモートアクセス VPN の暗黙のルールを無効化してください。必要なリモートアクセス VPN サービスをセキュリティゲートウェイに許可する明示的なアクセス制御ルールを作成してください:

• UDP/500 (IKE)、UDP/4500 (NAT-T)、TCP/443 (SSL)、TCP/80 (該当する場合)
• 該当する場合、リモートアクセスクライアントの送信元 IP アドレス範囲を指定してください

注記: これらの緩和策は、ローカルで管理される Spark ファイアウォールには適用されません。

一般的な推奨事項

• VPN サービスの公開を信頼できるネットワークに限定する
• 異常なログインがないか VPN セッションログを監視する
• VPN クライアントと管理インターフェースの間にネットワークセグメンテーションを実装する

参考文献

• Check Point アドバイザリ: sk1000117
• CVE-2026-85102: NVD
• RFC 5996: IKEv2 プロトコル仕様

ライセンス

このエクスプロイトコードは、セキュリティ研究およびテスト目的で提供されています。自身のシステム上、またはシステム所有者からの明示的な許可を得た場合にのみ使用してください。