CVE 网页检查工具

一个基于审批的本地 Web 应用，用于扫描和修复潜在的 Check Point CVE-2026-50751 和 CVE-2026-50752 漏洞，使用受信任的 Check Point 管理 API 命令。

该工具并非由 Check Point 创建或支持，使用风险自负。修复措施是临时的。Check Point 建议尽快使用 Check Point 安全公告中为每个 CVE 提供的补丁进行修补。

该应用在本地运行，登录到 Check Point 安全管理服务器或 MDS，扫描相关 VPN 配置，精确显示可能需要修复的位置，允许操作员批准更改，通过管理 API 应用更改，并可发布管理会话。发布后仍需安装策略，修复更改才能在网关上生效。

检查内容

IKE 版本全局属性扫描与修复（CVE-2026-50751）

扫描 SMS 全局远程访问 VPN 属性：

remote-access.vpn-authentication-and-encryption.encryption-method

如果当前值不是 ike_v2_only，应用可以批准并应用更改，将该属性设置为：

ike_v2_only

此扫描旨在识别 VPN 远程访问和移动访问中仍全局允许已弃用 IKEv1 密钥交换的风险。IKEv1 已弃用，不再是行业最佳实践。此更改可能影响较旧的 VPN 客户端。请查阅 SK166415 获取 Check Point 的额外指导。

旧版客户端允许检查与修复（CVE-2026-50751）

扫描简单网关，检查每个网关通用对象中的 VPN realm（位于 realmsForBlades 内）。

应用报告旧版客户端是已启用还是已禁用。当批准修复时，它将 VPN realm 拥有对象的 disabled 值设置为 true。

面向用户的结果文本：

旧版客户端已禁用
旧版客户端受支持

允许旧版客户端可能保留对 IKEv1 的支持，而 IKEv1 不再是行业最佳实践。除非仍需支持旧版客户端，否则建议禁用此设置。如果需要旧版客户端，请计划将其迁移到更安全的现代 VPN 客户端。

站点到站点 VPN 社区扫描与修复（CVE-2026-50752）

扫描两种 Check Point 站点到站点 VPN 社区类型：

星型社区
网状社区

当观察到以下所有情况时，应用会标记一个 VPN 社区：

VPN 站点到站点已启用。
VPN 社区使用 IKEv1。
参与 VPN 社区的网关使用基于证书的身份验证。

对于星型社区，应用分别显示中心网关和卫星网关。当 API 数据提供足够对象类型信息时，网关名称会标记为本地管理或外部管理。

对于网状社区，应用从社区 gateways 列表中获取网关名称。网状社区在此工具中不包含外部管理网关处理，因此该字段显示为“不适用”。

当批准修复时，应用尝试将 VPN 社区加密方法设置为仅 IKEv2。星型社区使用：

set-vpn-community-star

网状社区使用：

set-vpn-community-meshed

如果选定的星型社区包含外部管理网关，应用会在应用更改前发出警告。你必须确保在外部管理网关上同时进行匹配的仅 IKEv2 更改。

工作流程

使用 Check Point 管理 API 用户登录。
点击 扫描 Check Point 配置。
审查 SMS 全局属性、旧版客户端网关发现结果以及站点到站点 VPN 社区发现结果。
仅批准你想要应用的更改。
点击对应的应用按钮。
从工具发布，或如果你想手动检查和发布，则取消选中 应用成功后发布。
发布后安装策略，以便网关端更改生效。

安全注意事项

应用在连接到 Check Point 管理服务器时默认使用 HTTPS。
不要将管理服务器输入为 http://...；这会将 Check Point API 登录以明文 HTTP 发送。
浏览器通过 http://127.0.0.1:3000 与本地后端通信。
用户名和密码仅通过 localhost 从浏览器发送到本地后端。
后端通过管理 API 登录请求将用户名和密码发送到 Check Point。
应用不会记录密码。
Check Point 会话 ID 仅存储在服务器内存中，持续时间为本地 Node 进程的生命周期。
允许自签名证书 选项保留 TLS 加密但禁用证书验证。仅在必要时使用。

使用的 API 命令

后端代理以下 Check Point 管理 API 命令：

login
logout
publish
show-simple-gateways
show-generic-object
set-generic-object
show-global-properties
set-global-properties
show-vpn-communities-star
show-vpn-communities-meshed
set-vpn-community-star
set-vpn-community-meshed

安装与运行

本项目没有第三方 npm 依赖项。从源码运行时仅需要 Node.js 18 或更高版本。

macOS 从源码运行

从 nodejs.org 或 Homebrew 安装 Node.js 18 或更高版本。
```
brew install node
```
下载或克隆本项目。
```
git clone <repo-url>
cd CVE-Web-Check
```
启动本地应用。
```
npm start
```
由于没有 npm 依赖项，以下命令也可用：
```
node server.js
```
打开应用。
```
http://127.0.0.1:3000
```

Windows 从源码运行

从 nodejs.org 安装 Node.js 18 或更高版本。
下载并解压项目 ZIP 文件，或使用 Git for Windows 克隆仓库。
```
git clone <repo-url>
cd CVE-Web-Check
```
启动本地应用。
```
npm start
```
由于没有 npm 依赖项，以下命令也可用：
```
node server.js
```
在浏览器中打开应用。
```
http://127.0.0.1:3000
```

可选端口更改

默认情况下，应用监听 127.0.0.1:3000。要使用其他端口：

macOS：

PORT=3100 npm start

Windows PowerShell：

$env:PORT = "3100"
npm start

然后打开：

http://127.0.0.1:3100

故障排除

服务器将请求诊断信息打印到终端。成功登录尝试将显示类似以下的行：

Local API request requestId=abc12345 route=/api/login
Login request received target=https://mgmt.example.com/web_api/login user=admin
Check Point API request starting command=login target=https://mgmt.example.com/web_api/login

如果浏览器显示带有请求 ID 的登录错误，但数据包捕获显示没有向管理服务器发出出站尝试，请将终端的 target= 值与数据包捕获过滤器进行比较。

如果完全没有 Local API request 行，则浏览器未到达本地后端。请确认应用正在运行，并且你打开了正确的本地 URL。

CheckPoint-CVE-Webscanner

最受欢迎