CVE-2026-16232 — Check Point SmartConsole 認証バイパス

未認証ネットワークアクセスから完全な管理者権限までの認証バイパス PoC。単一ファイル、Python 3 純正標準ライブラリのみでゼロ依存。

脆弱性の概要

管理サーバーの Java ログインサービス authenticateRemoteApplication() は、攻撃者が提供する SIC DN 文字列をそのままアイデンティティとして受け入れ、TLS クライアント証明書で認証された実際の DN にバインドしません。攻撃者は未認証の SIC ブートストラップ通信から管理サーバー自身の SIC DN を読み取り、それをリプレイすることで、アプリケーション ID の偽装 → アプリケーショントークンの取得 → gen-sso-token による SmartConsole SSO チケットの鋳造 → 完全な管理者権限でのログインが可能になります。

• 脆弱性 ID: CVE-2026-16232
• CVSS: 9.3(Check Point)/ 9.1(CISA)、CWE-287
• 影響を受ける製品: Security Management Server、Multi-Domain Security Management Server(MDS)
• 利用状況: ゼロデイ、野外で悪用済み(2026-07-22 に CISA KEV へ追加)
• 修正バージョン: R81.20 Jumbo Hotfix Take 158+ / R82 Take 118+ / R82.10 Take 36+

使用方法

python3 CVE-2026-16232.py --target TARGET [options]

• 脆弱性のあるターゲット: アプリケーションバインド成功 → アプリケーショントークン取得 → SmartConsole 管理者セッションへの交換、全管理者の列挙が可能;
• 修正済みのターゲット: Application bind failed. The target is likely patched and not vulnerable. を出力。

⚠️ 免責事項

セキュリティ研究、脆弱性検証、および防御的テストのみを目的としています。PoC は対象の管理サーバーに対して SIC/CPMI 認証とトークン操作を実行します。許可されたターゲットまたはテスト環境でのみ使用し、未承認のシステムに対して実行しないでください。

帰属と参考

• 元の PoC: sfewer-r7/CVE-2026-16232(Stephen Fewer、Rapid7;元リポジトリはライセンスを明示していません)、本リポジトリは配布ミラーです
• Rapid7 技術分析: https://www.rapid7.com/blog/post/ra-check-point-smartconsole-authentication-bypass-technical-analysis-cve-2026-16232/
• Check Point 公式発表: https://support.checkpoint.com/results/sk/sk185169/