WatchGuard Firebox の範囲外書き込みの脆弱性（CVE-2025-9242）

何が起きた

WatchGuard の Firebox で動く Fireware OS の iked（VPN の接続を処理するプログラム）に、メモリの範囲外に書き込んでしまう弱点が見つかりました。ネットワーク経由で、ログインしていない攻撃者が任意の（攻撃者が好きに選べる）コードを実行できる可能性があります。WatchGuard も悪用されている形跡があるとしており、実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

IKEv2 を使うモバイルユーザー VPN、または動的なゲートウェイ相手との IKEv2 の拠点間 VPN を設定している Firebox が対象です。これらの設定を消した後でも、静的なゲートウェイ相手との拠点間 VPN が残っていれば影響を受ける可能性があります。WatchGuard の情報では、Fireware OS の 2025.1.1 より前の 2025 系、12.11.4 より前の 12 系、11.12.4+541730 以前の 11 系などが影響を受けます。

何をすればいい

Fireware OS を修正版（2025.1.1、12.11.4、T15/T35 は 12.5.13、FIPS 版は 12.3.1+722811）以降に更新してください。11 系は修正版の記載がないため、WatchGuard の公式の案内を確認してください。静的なゲートウェイ相手との拠点間 VPN だけを使っていてすぐ更新できない場合は、一時的な回避策として WatchGuard の IPSec と IKEv2 の拠点間 VPN を安全にする推奨設定に従えます。

やることチェックリスト

• Fireware OS を 12.11.4 や 2025.1.1 以降に更新する
• 更新できなければ拠点間 VPN を推奨設定にする
• IDi が 100 バイト超の IKE_AUTH 記録を確認する

用語メモ

VPN

インターネット上に暗号化された専用の通り道を作り、離れた場所から社内のネットワークに安全につなぐしくみです。

IKEv2

VPN をつなぐときに、暗号のかぎの交換や相手の確認を行うための通信の決まりごとです。

Fireware OS

WatchGuard のファイアウォール機器 Firebox を動かしている専用の OS です。