Fireware OSにコード実行の脆弱性、修正版12.5.22あり
WatchGuardのFireware OSで、Active Directory（AD）と連携する認証サービスに、機器の停止や任意のコード実行につながる脆弱性が見つかりました。12.0以上12.5.22未満を使い、ADでユーザー認証をしている組織が対象で、12.5.22への更新が必要です。悪用には前提条件があるため、至急ではなく早めの計画的な更新で足りるとみられます。
急ぎ度: 早めに
CVSS v4は9.2の重大な脆弱性で修正版12.5.22も出ていますが、悪用に前提条件があるため、至急ではなく早めの更新が妥当です。
関係があるか
Fireware OSを動かすWatchGuardの機器で、ADと連携した認証を設定している組織が当てはまります。ADを使わない構成が対象外かどうかは、WatchGuardの告知でも確認できていません。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| WatchGuard Fireware OS | 12.0以上、12.5.22未満 | 12.5.22 |
確かめ方
- 1管理画面のシステム情報で、稼働中のFireware OSの版を確認する。12.0以上12.5.22未満なら該当します。
- 2認証設定にActive Directoryが登録されているかを確認する。登録があれば、そのADサーバーの宛先アドレスも控えておきます。
- 3複数台を運用している場合は、拠点ごとの機器を洗い出し、版を一覧にする。
- 4WatchGuardのPSIRTの告知ページで、対象製品と版の最新の記載を確認する。
何が起きたか
WatchGuardのFireware OSで、認証サービスの処理に脆弱性が見つかりました。悪用されると、機器が停止したり、機器の上で任意のコードを実行されたりする恐れがあります。
問題は、設定したADサーバーから返ってくる応答の処理にあります。細工された応答を受け取ると、ヒープ領域でバッファーオーバーフローが起こります。分類はCWE-122とCWE-131で、バッファーの大きさの計算の誤りも関係しています。
WatchGuardは2026年10月27日に告知を出しました。重要度はcriticalで、CVSS v4は9.2です。告知の題には、認証前にリモートからコードを実行できる脆弱性とあります。
攻撃の流れ
-
1
通信経路を握る
攻撃者がADサーバー宛の通信に割り込めるか、ADサーバー自体を掌握している状態から始まります。
-
2
認証の問い合わせ
Fireware OSがユーザー認証のためにADサーバーへ問い合わせます。
-
3
細工した応答
正規のADサーバーの代わりに、攻撃者が細工した応答を返します。
-
4
メモリ破壊
認証サービスが応答を処理する際に、ヒープ領域のバッファーがあふれます。
-
5
停止かコード実行
機器が停止するか、任意のコードを実行される恐れがあります。
どう悪用されるか
攻撃者は、Fireware OSが問い合わせるADサーバーの通信を操作できる位置にいる必要があります。具体的には、その通信を横取りできるか、ADサーバー自体を支配している場合です。機器へのログインは要りません。利用者の操作も要りません。CVSS v4の評価では、この位置取りが攻撃の前提条件として織り込まれています。
成功すると、機器の認証サービスが落ち、認証に頼る通信が止まる恐れがあります。さらに任意のコードを実行された場合は、ネットワークの境界にある機器そのものを攻撃者に使われかねません。評価では、機密性・完全性・可用性のいずれも影響が高いとされています。
今すぐやること
-
1
対象機器の版を洗い出す
稼働中のFireware OSの版を確認し、12.0以上12.5.22未満の機器を一覧にします。ADと連携した認証を設定している機器を、先に更新する候補にします。
-
2
修正版12.5.22に更新する
WatchGuardの案内に沿って、Fireware OSを12.5.22に更新します。更新前に設定のバックアップを取り、再起動による認証の中断が許される時間帯を選びます。
-
3
ADとの通信経路を点検する
機器とADサーバーの間の経路に、信頼できない機器や区画が挟まっていないかを確認します。あわせて、ADサーバー自体に不審な変更や侵害の兆候がないかを見ます。
-
4
更新後に認証を試す
AD連携のユーザーで実際にログインできることを確認し、認証まわりのログにエラーが続いていないかを見ます。
すぐ更新できないとき
すぐに更新できないときは、機器とADサーバーの通信を、信頼できる管理されたネットワーク内に限る対策が考えられます。通信の途中に第三者が入れない状態にしておくことが目的です。ベンダーが公式の回避策を示しているかは、WatchGuardの告知で確認してください。
背景
Fireware OSはWatchGuardのファイアウォール製品を動かすOSで、社内ネットワークと外部の境界に置かれます。ユーザー認証をADに任せる構成では、機器は認証のたびにADサーバーへ問い合わせ、返ってきた応答を読み取って許可か拒否かを決めます。今回の脆弱性があるのは、この応答を読み取る部分です。
多くの脆弱性は、外部から機器へ届く通信の処理で起こります。今回は向きが逆で、機器が自分から問い合わせた先の応答を信用して処理するところが狙われます。ADサーバーは社内の信頼できる存在とみなされやすいため、経路や中継機器の管理が甘いと、その信頼が弱点になります。
よくある質問
Q.ADサーバー側にも更新は必要ですか。
Q.更新したあと、何を確認すればよいですか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは公表されていません。悪用の報告や追加の情報は、WatchGuardの告知で確認してください。
- ADと連携する認証のうち、どの機能の設定が影響を受けるのかは公表されていません。ADを使わない構成の扱いも同様です。
- 12.0より前の版や、12系以外のFireware OSの系列が影響を受けるかは公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| WatchGuard | Fireware OS |
12.0 以上 12.5.22 未満 |
12.5.22 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A heap-based buffer overflow vulnerability exists in the Fireware OS authentication service allows an attacker who controls or intercepts traffic to the configured Active Directory server to create a denial of service condition and potentially execute arbitrary code by returning a specially crafted response.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web psirt.watchguard.com
- web nvd.nist.gov
- web github.com