CVE Web Check

Локальное веб-приложение, основанное на утверждении изменений, для сканирования и устранения потенциальной подверженности уязвимостям Check Point CVE-2026-50751 и CVE-2026-50752 с помощью доверенных команд Check Point Management API.

Этот инструмент не создан и не поддерживается компанией Check Point, и его следует использовать на свой страх и риск. Устранение уязвимостей носит временный характер. Check Point рекомендует как можно быстрее установить исправления, предоставленные для каждой CVE в бюллетенях по безопасности Check Point.

Приложение работает локально, выполняет вход на Check Point Security Management Server или MDS, сканирует соответствующую VPN-конфигурацию, показывает, где именно может потребоваться устранение уязвимостей, позволяет оператору утвердить изменения, применяет изменения через Management API и может опубликовать сессию управления. После публикации политику всё равно необходимо установить, чтобы изменения по устранению уязвимостей вступили в силу на шлюзах.

Что проверяется

Сканирование и устранение глобального свойства версии IKE (CVE-2026-50751)

Сканирует глобальное свойство Remote Access VPN на SMS:

remote-access.vpn-authentication-and-encryption.encryption-method

Если текущее значение не равно ike_v2_only, приложение может одобрить и применить изменение, установив свойство в значение:

ike_v2_only

Это сканирование предназначено для выявления подверженности уязвимостям, когда устаревший обмен ключами IKEv1 всё ещё глобально разрешён для VPN Remote Access и Mobile Access. IKEv1 устарел и больше не является отраслевой передовой практикой. Это изменение может затронуть старые VPN-клиенты. Ознакомьтесь с SK166415 для получения дополнительных рекомендаций Check Point.

Проверка и устранение проблемы разрешённых устаревших клиентов (CVE-2026-50751)

Сканирует простые шлюзы и проверяет generic-объект каждого шлюза на наличие VPN-области внутри:

realmsForBlades

Приложение сообщает, поддерживаются ли устаревшие клиенты или отключены. Когда устранение одобрено, оно устанавливает значение disabled для объекта, принадлежащего VPN-области, в true.

Текст результата для пользователя:

Legacy clients are disabled
Legacy Clients are Supported

Разрешение устаревших клиентов может сохранить поддержку IKEv1, который больше не является отраслевой передовой практикой. Мы рекомендуем отключить этот параметр, если только устаревшие клиенты всё ещё не требуются. Если устаревшие клиенты нужны, спланируйте их переход на более безопасный современный VPN-клиент.

Сканирование и устранение проблем site-to-site VPN-сообществ (CVE-2026-50752)

Сканирует оба типа site-to-site VPN-сообществ Check Point:

Сообщества Star
Сообщества Mesh

Приложение помечает VPN-сообщество только при выполнении всех следующих условий:

VPN site-to-site включён.
VPN-сообщество использует IKEv1.
Шлюзы, участвующие в VPN-сообществе, используют аутентификацию на основе сертификатов.

Для сообществ Star приложение отображает центральные шлюзы и шлюзы-сателлиты отдельно. Имена шлюзов помечаются как управляемые локально или управляемые извне, когда данные API предоставляют достаточно информации о типе объекта.

Для сообществ Mesh приложение получает имена шлюзов из списка gateways сообщества. В этом инструменте сообщества Mesh не поддерживают обработку внешне управляемых шлюзов, поэтому это поле отображается как неприменимое.

Когда устранение одобрено, приложение пытается установить метод шифрования VPN-сообщества только на IKEv2. Сообщества Star используют:

set-vpn-community-star

Сообщества Mesh используют:

set-vpn-community-meshed

Если выбранное сообщество Star включает внешне управляемые шлюзы, приложение предупреждает перед применением изменения. Вы должны убедиться, что соответствующее изменение «только IKEv2» также выполнено на стороне внешне управляемых шлюзов.

Порядок работы

Выполните вход с помощью пользователя Check Point Management API.
Нажмите Scan Check Point Config.
Просмотрите глобальное свойство SMS, результаты проверки шлюзов устаревших клиентов и результаты проверки site-to-site VPN-сообществ.
Одобрите только те изменения, которые хотите применить.
Нажмите соответствующую кнопку применения.
Опубликуйте из инструмента или снимите флажок Publish after successful apply, если хотите проверить и опубликовать вручную.
После публикации установите политику, чтобы изменения на стороне шлюзов вступили в силу.

Замечания по безопасности

При подключении к серверу управления Check Point приложение по умолчанию использует HTTPS.
Не указывайте сервер управления в виде http://...; это приведёт к отправке логина Check Point API по незашифрованному HTTP.
Браузер взаимодействует с локальным бэкендом по адресу http://127.0.0.1:3000.
Имя пользователя и пароль отправляются из браузера в локальный бэкенд только на localhost.
Бэкенд отправляет имя пользователя и пароль в Check Point через запрос входа Management API.
Приложение не записывает пароли в журнал.
Идентификатор сессии Check Point хранится только в памяти сервера в течение всего времени жизни локального процесса Node.
Параметр Allow self-signed certificate сохраняет шифрование TLS, но отключает проверку сертификата. Используйте его только при необходимости.

Используемые команды API

Бэкенд проксирует следующие команды Check Point Management API:

login
logout
publish
show-simple-gateways
show-generic-object
set-generic-object
show-global-properties
set-global-properties
show-vpn-communities-star
show-vpn-communities-meshed
set-vpn-community-star
set-vpn-community-meshed

Установка и запуск

Этот проект не имеет сторонних npm-зависимостей. Для запуска из исходников требуется только Node.js 18 или новее.

macOS из исходников

Установите Node.js 18 или новее из nodejs.org или через Homebrew.
```
brew install node
```
Загрузите или склонируйте этот проект.
```
git clone <repo-url>
cd CVE-Web-Check
```
Запустите локальное приложение.
```
npm start
```
Поскольку npm-зависимостей нет, подойдёт и такой способ:
```
node server.js
```
Откройте приложение.
```
http://127.0.0.1:3000
```

Windows из исходников

Установите Node.js 18 или новее с nodejs.org.
Загрузите и распакуйте ZIP-архив проекта или склонируйте репозиторий с помощью Git for Windows.
```
git clone <repo-url>
cd CVE-Web-Check
```
Запустите локальное приложение.
```
npm start
```
Поскольку npm-зависимостей нет, подойдёт и такой способ:
```
node server.js
```
Откройте приложение в браузере.
```
http://127.0.0.1:3000
```

Необязательное изменение порта

По умолчанию приложение прослушивает адрес 127.0.0.1:3000. Чтобы использовать другой порт:

macOS:

PORT=3100 npm start

Windows PowerShell:

$env:PORT = "3100"
npm start

Затем откройте:

http://127.0.0.1:3100

Поиск и устранение неполадок

Сервер выводит диагностику запросов в терминал. Успешная попытка входа покажет строки, похожие на:

Local API request requestId=abc12345 route=/api/login
Login request received target=https://mgmt.example.com/web_api/login user=admin
Check Point API request starting command=login target=https://mgmt.example.com/web_api/login

Если браузер показывает ошибку входа с идентификатором запроса, но захват пакетов не показывает исходящих попыток подключения к серверу управления, сравните значение target= в терминале с вашим фильтром захвата пакетов.

Если строки Local API request нет вообще, браузер не достигает локального бэкенда. Убедитесь, что приложение запущено и вы открыли правильный локальный URL.

CheckPoint-CVE-Webscanner

Популярное