CVE-2026-85102 — Check Point 인증되지 않은 VPN 터널 설정

CVE-2026-85102를 악용하여 IKE 인증서 체인 검증을 우회함으로써 Check Point Security Gateway에서 인증되지 않은 VPN 터널을 설정합니다.

공식 Check Point 보안 권고: sk1000117

취약점

CVE-2026-85102 — VPN 인증서 체인 검증 우회

제품: Check Point Security Gateway, Check Point Spark Firewall 영향받는 버전: R81.20, R82, R82.10 (Bundle T24 이전), R80-R81.10 (모두 EoS) 영향받지 않음: R82.20
구성 요소: libcpcert.so — fwKeyHolder_imp::IsChainTrusted()
근본 원인: IsChainTrusted()는 CanonizeChain()을 호출하지만 반환 값을 무시합니다. 체인 정규화가 실패하더라도 함수는 TRUSTED를 반환합니다.

악용: 공격자는 다음을 수행할 수 있습니다:

1. 대상(포트 18190 또는 443)에서 ICA 중간 인증서를 추출
2. ICA의 Issuer DN을 사용하여 리프 인증서를 위조
3. ICA 인증서 서명을 손상시켜 CanonizeChain() 실패를 유발
4. 위조된 인증서 체인이 여전히 신뢰할 수 있는 것으로 수락됨
5. 유효한 자격 증명 없이 IKE 인증 완료

저장소 구조

CVE-2026-85102.py   # CVE-2026-85102: VPN tunnel establishment (auth bypass)
cp_postex.py             # Post-exploitation helper (tunnel management, recon)

사전 요구 사항

공격 머신 요구 사항

• OS: Linux (Ubuntu/Debian/Kali 권장)
• 권한: root 또는 sudo (커널 IPsec SA 구성용)
• Python: 3.8 이상
• 의존성: pip install cryptography
• 도구: openssl, iproute2 (ip 명령), nc (netcat)

대상 요구 사항

• Check Point Security Gateway R81.20, R82 또는 R82.10
• Pre-Bundle T24
• Remote Access 커뮤니티가 구성된 VPN 블레이드 활성화
• 최소 하나 이상의 VPN 사용자 이름 확인 (예: testuser)
• 공격자로부터 UDP/500 및 TCP/443 포트 접근 가능

사용법

VPN 터널 설정

# Establish tunnel with certificate bypass
sudo python3 CVE-2026-85102.py<target_ip> -u <vpn_username>
# Output includes Office Mode IP, e.g., 172.16.10.3

# Clean up tunnel
sudo python3 CVE-2026-85102.py--cleanup

침투 후 지원 도구

# Establish tunnel and save state
sudo python3 cp_postex.py tunnel up <target_ip> -u <vpn_username>

# Check tunnel status
sudo python3 cp_postex.py tunnel status

# Scan gateway ports through tunnel
sudo python3 cp_postex.py recon scan
sudo python3 cp_postex.py recon scan -p 80,443,18190-18208

# Sweep internal networks through tunnel
sudo python3 cp_postex.py recon sweep 192.168.1.0/24
sudo python3 cp_postex.py recon sweep 192.168.1.0/24 -p 22

# Tear down tunnel
sudo python3 cp_postex.py tunnel down
sudo python3 cp_postex.py tunnel down -f  # Flush all xfrm state

매개변수

매개변수	설명
<target_ip>	Check Point 게이트웨이 IP
-u <username>	VPN 사용자 이름 (기본값: testuser)
-l <local_ip>	다중 인터페이스 시스템용 수동 로컬 IP
-c <cert_host>	ICA 인증서 추출을 위한 대체 호스트
--cleanup	터널 구성 제거

영향

• 공격 벡터: 네트워크 (인터넷에서 접근 가능)
• 공격 복잡도: 낮음 (완전 자동화)
• 필요 권한: 없음
• 사용자 상호작용: 없음
• 기밀성 영향: 높음 (보호된 네트워크에 접근)
• 무결성 영향: 중간 (터널을 통한 트래픽 수정 가능)
• 가용성 영향: 낮음
• CVSS 3.1: 9.8 (심각)

탐지

비정상적인 인증서 기반 Mobile Access 로그인에 대해 로그를 검토하십시오. SmartConsole/Spark Management에서 Logs & Monitor / Logs & Events로 이동하여 2026년 9월 12일 이후의 이벤트를 검색하십시오:

product: "Mobile Access" AND action: "Log In" AND "Certificate"

인식되지 않은 사용자, 클라이언트 또는 소스 IP 주소에 대한 이벤트를 검사합니다.

관찰된 의심스러운 인증서 주체:

• CN=vpn,OU=users,O=global
• CN=vpn-user,OU=users,O=global
• CN=vpnuser,OU=users,O=global

교정 조치

CVE-2026-85102에 대한 수정 옵션

옵션 1: Check Point LivePatch (권장)

LivePatch Take 26(BUNDLE_URGENT_SECURITY_UPDATE)을 설치합니다:

• R82.10: Take 26
• R82: Take 26
• R81.20: Take 26

설치 검증:

# Check LivePatch status
cplp list

# Expected output includes:
# cpcert:cpca*    CVE-2026-85102 CVE-2026-85103
# cpcert:iked*    CVE-2026-85102 CVE-2026-85103
# cpcert:vpn*     CVE-2026-85102 CVE-2026-85103
# cpcert:vpnrad*  CVE-2026-85102 CVE-2026-85103
# cpcert_cprid:cprid* CVE-2026-85102 CVE-2026-85103

옵션 2: Jumbo Hotfix Accumulator

• R82.10: Take 44 이상
• R82: Take 126 이상
• R81.20: Take 166 이상
• R81.10: Take 190 이상

Spark 방화벽

• Spark R82.00.10: Build 2325 이상
• Spark R81.10.17: Build 4968 이상

패치 세부 정보 (CVE-2026-85102)

이 수정 사항은 libcpcert.so를 변경합니다:

// IsChainTrusted: Check CanonizeChain return value
result = CanonizeChain(this, trusted_ca, sorted, out, i, trust_type);
if (!result) {
    trusted_ca = NULL;
}
return trusted_ca;

// CanonizeChain: Check intermediate operation returns
if (!CopyChain(...)) return NULL;
if (!TruncateChain(...)) return NULL;

완화 조치 (패치할 수 없는 경우)

사이트 간 VPN의 경우

암시적 VPN 규칙을 비활성화하고 특정 피어 IP 주소에 대해 UDP/500 및 UDP/4500에 대한 VPN 액세스를 수동으로 정의합니다. sk179346을 참조하십시오.

원격 액세스 VPN의 경우

원격 액세스 VPN 암시적 규칙을 비활성화합니다. 보안 게이트웨이에 필요한 원격 액세스 VPN 서비스를 허용하는 명시적 액세스 제어 규칙을 생성합니다:

• UDP/500 (IKE), UDP/4500 (NAT-T), TCP/443 (SSL), TCP/80 (해당하는 경우)
• 해당하는 경우 원격 액세스 클라이언트의 소스 IP 주소 범위를 지정합니다

참고: 이러한 완화 조치는 로컬에서 관리되는 Spark 방화벽에는 적용되지 않습니다.

일반 권장 사항

• VPN 서비스 노출을 신뢰할 수 있는 네트워크로 제한
• 비정상적인 로그인을 감지하기 위해 VPN 세션 로그 모니터링
• VPN 클라이언트와 관리 인터페이스 간의 네트워크 분할 구현

참고 자료

• Check Point 권고: sk1000117
• CVE-2026-85102: NVD
• RFC 5996: IKEv2 프로토콜 사양

라이선스

이 익스플로잇 코드는 보안 연구 및 테스트 목적으로 제공됩니다. 자신의 시스템에서 또는 시스템 소유자의 명시적 승인을 받은 경우에만 사용하십시오.