Fireware OSに認証前のコード実行の脆弱性、修正版12.5.22あり
WatchGuardのFireware OSで、Active Directory（AD）との認証連携を悪用され、機器が停止したり、任意のコードを実行されたりする恐れがあります。ADサーバーと連携して認証を行っているファイアウォールの管理者は、版を確認して12.5.22以降に更新してください。更新までの間は、機器とADサーバーを結ぶ通信経路を見直しておくと安心です。
急ぎ度: 早めに
CVSS v4は9.2で、認証なしにコード実行へ至る可能性があり、修正版12.5.22も出ているため、通常の更新サイクルを待たずに計画を立てるべき状況です。
関係があるか
Fireware OSが動くWatchGuardのファイアウォールで、利用者認証にADサーバーを設定している組織が主な対象です。VPNや社内通信の認証をADに任せている環境ほど、確認の優先度が上がります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Fireware OS | 12.0以上12.5.22未満 | 12.5.22 |
確かめ方
- 1管理画面などで、各機器のFireware OSの版を確認します。12.0以上12.5.22未満であれば、修正の対象です。
- 2機器の認証設定で、ADサーバーが登録されているかを確認します。登録があれば、この脆弱性の経路が存在します。
- 3機器とADサーバーの間の通信が、どのネットワークを通っているかを把握します。拠点間のVPNや外部回線を通る場合は、とくに注意が必要です。
- 4複数台を運用している場合は、機器ごとに版とAD連携の有無を一覧にしておきます。
何が起きたか
Fireware OSの認証サービスに、メモリー領域の範囲を超えて書き込んでしまう脆弱性が見つかりました。ADサーバーからの応答を処理する際に問題が起き、機器が認証サービスの停止に追い込まれたり、任意のコードを実行されたりする恐れがあります。
原因は、ヒープ領域でのバッファオーバーフローです。弱点の種類としては、ヒープ領域の溢れ、バッファサイズの計算ミス、範囲外への書き込みに分類されています。細工された応答を受け取ったときに、確保した領域より大きなデータを書き込んでしまう仕組みです。
WatchGuardは修正版としてFireware OS 12.5.22を公開しました。公表日は2026年10月27日です。
攻撃の流れ
-
1
通信経路に介入
攻撃者が、機器と設定済みADサーバーのあいだの通信を制御するか傍受できる位置を得ます。
-
2
認証の問い合わせ
Fireware OSの認証サービスが、利用者の認証のためにADサーバーへ問い合わせを送ります。
-
3
細工した応答
攻撃者が、ADサーバーの応答として細工したデータを機器に返します。
-
4
ヒープの破壊
認証サービスが応答を処理する際、確保した領域を超えて書き込んでしまいます。
-
5
停止か任意コード
認証サービスが停止するか、任意のコードを実行される可能性があります。
どう悪用されるか
認証は必要なく、利用者の操作も要りません。ネットワーク経由で成立しますが、攻撃者が機器と設定済みのADサーバーのあいだの通信を制御するか傍受できる位置にいることが前提です。外部から機器へ直接データを送りつけるだけで成立するタイプとは異なります。CVSS v4の評価で、攻撃条件が必要とされているのはこのためです。
条件が整った場合の被害は大きく、機密性・完全性・可用性のいずれにも高い影響が想定されています。まず認証サービスが停止する恐れがあり、さらに任意のコードを実行されれば、境界に置かれた機器そのものを乗っ取られる可能性があります。機器を通る通信の観察や設定の改ざんにまで及ぶ恐れがあり、社内ネットワークへの足がかりにされかねません。
今すぐやること
-
1
対象の機器と版を洗い出す
管理している全台について、Fireware OSの版とAD認証の設定有無を確認します。拠点の小さな機器も含めて数え落としがないようにします。
-
2
修正版に更新する
対象の機器を修正版に更新します。更新前には設定のバックアップを取り、再起動を伴うため、業務への影響が少ない時間帯に実施します。
-
3
ADサーバーとの通信経路を点検する
機器とADサーバーの通信が、信頼できない回線や共有ネットワークを通っていないかを確認します。通っている場合は、更新の優先度を上げます。
-
4
更新後に認証と動作を確認する
更新後は、AD連携による認証が正常に通ること、機器の再起動や認証サービスの異常終了が続いていないことを確認します。更新前後のログも保全しておきます。
すぐ更新できないとき
修正版にすぐ更新できない場合は、機器とADサーバーを結ぶ通信を、第三者が介入しにくい閉じたネットワークや専用の経路に限定します。WatchGuardが個別の回避策を案内しているかどうかは、同社のPSIRTの告知で確認してください。
背景
Fireware OSは、WatchGuardのファイアウォール機器で動くOSです。社内ネットワークとインターネットの境目に置かれ、通信の制御に加えて、VPN接続などの利用者認証も受け持ちます。ADと連携させている場合、機器はログインのたびにADサーバーへ問い合わせを送り、その応答をもとに認証の可否を決めます。
今回の脆弱性が突いているのは、機器が外から受け取る通信ではなく、あらかじめ信頼しているADサーバーからの応答を処理する部分です。社内のサーバーとの通信は安全だと思いがちですが、そのあいだの経路に介入されると前提が崩れます。ファイアウォールは侵害されたときの影響が大きい機器でもあるため、AD連携を使っている環境では、更新とあわせて経路の見直しも検討に値します。
よくある質問
Q.複数拠点にある場合、どの機器から更新すればよいですか。
まだ分かっていないこと
- 実際の攻撃で悪用された事例があるかどうかや、攻撃コードが出回っているかどうかは、公表されていません。
- AD認証を設定していない機器が影響を受けるかどうかや、12.5系以外の系統の修正版の有無は、公表されていません。
- 回避策の有無、悪用された痕跡を確認する方法は公表されていません。最新の状況はWatchGuardのPSIRTの告知で確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| WatchGuard | Fireware OS |
12.0 以上 12.5.22 未満 |
12.5.22 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A heap-based buffer overflow vulnerability in the Fireware OS authentication service allows an attacker who controls or intercepts traffic to the configured Active Directory server to create a denial of service condition and potentially execute arbitrary code by returning a specially crafted response.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web psirt.watchguard.com
- web nvd.nist.gov
- web github.com