Fireware OSのログ機能に重大な脆弱性、12.5.22で修正
WatchGuardのFireware OSで、ログサーバーへの送信処理を突かれると、機器をroot権限で乗っ取られるおそれがあります。12.0以降12.5.22未満を使うFireboxの管理者は、12.5.22以降への更新を計画に入れてください。あわせて、ログの送信経路が信頼できる区間に収まっているかも見直す必要があります。
急ぎ度: 早めに
CVSS v4は9.1の重大ですが、実際の攻撃での悪用は確認されておらず、悪用にはログ送信の通信経路に近い位置が要るため、修正版12.5.22への更新を早めに進めれば足りると考えられます。
関係があるか
Fireware OSが動くWatchGuardの機器を、ログサーバーへのログ送信を設定したうえで運用している組織が対象です。境界ファイアウォールとして使っている企業や拠点が多いはずです。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| WatchGuard Fireware OS | 12.0以上、12.5.22未満 | 12.5.22 |
確かめ方
- 1管理画面のシステム情報か、機器の管理ツールで、稼働中のFireware OSの版を確認します。12.0以上で12.5.22より前なら対象です。
- 2ログの送信設定を開き、ログサーバーが登録されているかを確認します。登録されている機器は、優先して更新してください。
- 3ログサーバーまでの通信経路を洗い出します。同じセグメントやスイッチを共有する機器、中継する拠点間回線がないかを見てください。
- 4複数拠点にFireboxがある場合は、機器ごとに版を一覧にします。保守契約の窓口が別なら、そちらにも更新状況を問い合わせます。
何が起きたか
Fireware OSのログ送信機能に、機器をroot権限で乗っ取られるおそれのある脆弱性が見つかりました。機器が設定済みのログサーバーと通信するとき、相手が細工した証明書を示すと、機器側で任意のコードが実行されてしまいます。
原因は、ログ機能の処理にあるスタックバッファオーバーフローです（CWE-121、CWE-787）。ベンダーのWatchGuardが2026年10月27日にアドバイザリを出し、12.5.22で修正しました。CVSS v4は9.1で、重大度はcriticalです。
修正の対象になった版は12.0以上12.5.22未満です。
攻撃の流れ
-
1
経路上に位置取り
攻撃者が、機器とログサーバーの通信に近いネットワーク上の位置を確保します。
-
2
相手になりすます
ログサーバーになりすますか、機器とログサーバーの通信に割り込みます。
-
3
細工した証明書
機器がログサーバーと接続するとき、細工した証明書を機器に示します。
-
4
メモリが壊れる
ログ機能の処理でバッファがあふれ、メモリの内容が書き換わります。
-
5
root権限で実行
攻撃者のコードが機器の上でroot権限で動きます。
どう悪用されるか
攻撃者は、機器と、設定されたログサーバーとの通信に近いネットワーク上にいる必要があります。説明では、ログサーバーになりすますか、その通信を傍受できる立場が前提です。インターネットの向こうから、経路と無関係に直接狙える類いのものではありません。
機器への認証は要りません。機器の管理者や利用者の操作も不要です。機器がログを送ろうとすれば、悪用の機会が生まれます。
成功すると、攻撃者のコードが機器上でroot権限で動きます。ファイアウォールとして通る通信の制御や、機器の設定、機器の稼働に影響が及ぶおそれがあります。
今すぐやること
-
1
稼働中の版を洗い出す
管理下のFireboxすべてについて、Fireware OSの版と、ログサーバーの設定の有無を一覧にします。12.0以上12.5.22未満の機器が更新の対象です。
-
2
修正版に更新する
Fireware OSを12.5.22以降に更新します。更新の前に設定ファイルのバックアップを取り、再起動に備えて作業時間を確保してください。ログサーバーを設定している機器から先に進めると、リスクが下がるのが早くなります。
-
3
ログ送信経路を見直す
機器とログサーバーの通信が、信頼できる管理用のセグメントだけを通っているかを確認します。第三者が接続できる区間や共有のスイッチを通っていれば、経路の分離を検討してください。
-
4
更新後の状態を確認する
更新後に版が12.5.22以降になっていること、ログサーバーへの送信が再開されていることを確認します。更新前の期間は、設定変更の履歴や機器の予期しない再起動がないかも見ておくと安心です。
すぐ更新できないとき
すぐに更新できない場合は、機器とログサーバーのあいだの通信を、管理用の専用セグメントや閉域の回線に限り、第三者が経路に入れない状態にします。ログサーバーの設定を外す、または変更する場合は、ログの欠落と、それで脆弱性を避けられるかを、ベンダーのアドバイザリで確認してから決めてください。
背景
Fireware OSは、WatchGuardのファイアウォール機器Fireboxが動くOSです。社内ネットワークとインターネットの境界に置かれ、通信の許可と拒否を担います。そのため、機器上でroot権限のコードが動くと、通信の制御そのものが相手に渡るおそれがあります。
今回の脆弱性は、機器がログサーバーと通信するときの証明書の処理にあります。ログの送信は、機器が外部の相手に接続しにいく処理です。外から機器の入口を叩く形の脆弱性とは、守る場所が異なります。ログ送信の経路を管理用のネットワークに閉じているかどうかで、リスクの大きさが変わります。
よくある質問
Q.管理画面を外部に公開していなければ、対象外ですか。
まだ分かっていないこと
- 実際の攻撃での悪用が確認されたかどうかは、公表されていません。
- 対象になる機器の型番や、12.5系以外のFireware OSの系統での扱いは、公表されていません。ベンダーのアドバイザリ（https://psirt.watchguard.com/CVE-2026-103593）で確認してください。
- 更新ができない場合の公式の回避策は、公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| WatchGuard | Fireware OS |
12.0 以上 12.5.22 未満 |
12.5.22 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A stack-based buffer overflow vulnerability in the Fireware OS logging service allows a network-adjacent attacker who can impersonate or intercept traffic to the configured log server to execute arbitrary code with root privileges by presenting a specially crafted certificate.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web psirt.watchguard.com
- web nvd.nist.gov
- web github.com