WatchGuard Firebox の範囲外書き込みの脆弱性（CVE-2025-14733）

何が起きた

WatchGuard の Firebox で動く Fireware OS の iked という処理（VPN の接続の取り決めを受け持つ部分）に、決められた範囲の外のメモリに書き込んでしまう弱点が見つかりました。ログイン不要で、ネットワーク経由で離れた場所から、任意のコードを実行されるおそれがあります。実際に悪用が確認されており、ランサムウェアの攻撃にも使われたことが知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

IKEv2 を使うモバイルユーザー VPN、または動的なゲートウェイピアへの IKEv2 の拠点間 VPN を設定している Firebox が対象です。これらの設定を消したあとでも、静的なゲートウェイピアへの拠点間 VPN が残っていると、影響を受ける可能性があります。WatchGuard によると、Fireware OS の 2025.1.4 より前、12.11.6 より前、11.10.2 から 11.12.4+541730 まで、T15 と T35 は 12.5.15 より前、FIPS 版は 12.3.1+728352 より前が影響を受けます。

何をすればいい

Fireware OS を修正版（2025.1.4、12.11.6、12.5.15、12.3.1-b728352 のうち該当するもの）以降に更新してください。WatchGuard が示す攻撃の兆候（iked の処理が止まる・落ちる、IKE_AUTH の要求の異常な記録など）を確認し、攻撃が成功した疑いがある場合は、Firebox に保存されている秘密情報をすべて入れ替えてください。静的なゲートウェイピアへの拠点間 VPN だけを使っていてすぐに更新できない場合は、WatchGuard の推奨設定を一時的な回避策にできます。公式の案内（WatchGuard の勧告）を確認してください。

やることチェックリスト

• Fireware OS を修正版以降に更新する
• iked の異常やログで攻撃の兆候を確かめる
• 侵入の疑いがあれば秘密情報をすべて入れ替える

用語メモ

VPN

インターネットの上に、暗号化した専用の通り道を作って安全に通信する仕組みです。

IKEv2

VPN をつなぐときに、暗号の鍵などを取り決めるための通信の決まりです。

任意のコード

攻撃者が好きに選んだプログラムや命令のことです。

ランサムウェア

データを使えない状態にして、元に戻すことと引き換えにお金を要求する不正なプログラムです。