Fireware OSのFireCluster同期に認証なし脆弱性、修正版あり
WatchGuardのファイアウォール用OS、Fireware OSの12.5.22より前の版に、クラスタ機器間の同期処理で認証が抜けている脆弱性が見つかりました。FireClusterで冗長構成を組んでいる組織は、12.5.22への更新を計画に入れてください。実際の攻撃での悪用は確認されたと伝えられていないため、まずは構成の洗い出しから進めるのが現実的です。
急ぎ度: 早めに
CVSS v4が9.4と高く、修正版12.5.22がすでに出ているため、定例の更新を待たず早めに当てる段階です。
関係があるか
Fireware OSを載せたWatchGuardのファイアウォールのうち、FireClusterで機器を組にして運用している組織が対象です。境界に置いた機器が影響を受けるため、拠点や外部公開サービスの通信を担う環境ほど優先度が上がります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| WatchGuard Fireware OS | 12.0以上、12.5.22未満 | 12.5.22 |
確かめ方
- 1管理画面（Fireware Web UI）やWatchGuard System Managerで、各機器のFireware OSの版を確認します。12.0以上で12.5.22未満なら範囲に入ります。
- 2FireClusterの設定が有効かどうかを、クラスタを組んでいる全機器で確認します。機器の台数と、同期に使っているインターフェースもこのとき控えておくと、あとの確認が楽です。
- 3保守契約先や構築した業者に、管理外の機器（拠点の小型機や検証用の機器）が残っていないかを問い合わせます。
何が起きたか
WatchGuardのFireware OSに、FireClusterの同期処理で認証が行われない脆弱性が見つかりました。細工した要求を送られると、ファイアウォールの管理操作をroot権限で実行されてしまいます。
FireClusterは複数のファイアウォールを組にして冗長化する機能で、機器どうしが設定や状態を同期します。この同期の入口で相手が正規のピアかどうかが確かめられていないため、管理用の特権処理まで呼び出せる状態になっていました。
CWEにはCWE-77、CWE-290、CWE-306、CWE-862が付いています。CVSS v4は9.4で、機密性・完全性・可用性のいずれも高い影響と評価されています。ベンダーは2026年10月27日に告知を出し、12.5.22で修正しました。
攻撃の流れ
-
1
同期回線に到達
攻撃者がクラスタ機器間の通信経路に入り込みます。
-
2
同期処理へ要求
FireCluster Syncの処理に、細工した要求を送ります。
-
3
認証なしで受理
相手の正当性が確認されないまま、要求が処理されます。
-
4
root権限で操作
ファイアウォールの特権的な管理操作が実行されます。
どう悪用されるか
攻撃にはクラスタ間の通信経路上の位置が必要です。ベンダーの説明では、侵害されたクラスタのピアや、経路上に入り込んだ攻撃者が想定されています。ログインなどの認証は不要で、利用者の操作も要りません。評価上の攻撃の複雑さは低く、隣接ネットワークからの攻撃として扱われています。
成功すると、root権限でファイアウォールの管理操作を実行されます。評価では機密性・完全性・可用性とも高い影響とされており、設定の読み取りや書き換え、通信の制御、サービス停止までを想定しておくのが安全です。
筆者は、インターネットから直接狙われる型ではない点が、危険度を見るうえでの大きな分かれ目だと思っています。ただし、同期用の回線を別の用途と共用していたり、クラスタの片方がすでに侵害されていたりすると、この前提は崩れます。
今すぐやること
-
1
対象の機器を洗い出す
Fireware OSの版とFireClusterの有無を、管理しているすべての機器で確認します。クラスタを組んでいる機器は、組になっている台数も把握します。
-
2
12.5.22以降へ更新する
ベンダーの告知に従い、修正版に更新します。冗長構成の機器は、更新の順番や切り替えの手順を事前に決め、業務への影響が小さい時間帯に実施します。
-
3
同期用の回線の接続範囲を確認する
クラスタ間の通信がつながっている範囲を見直します。専用のセグメントになっているか、ほかの機器や用途と共用していないかを確かめます。
-
4
更新後に設定とログを見直す
更新前に身に覚えのない設定変更や管理操作がないかを、ログと設定の履歴で確認します。クラスタの両方の機器で確認してください。
すぐ更新できないとき
すぐに更新できない場合は、同期用のインターフェースにつながる機器と経路を最小限にします。専用のネットワークとして切り離し、クラスタのピア以外が到達できない状態を保ってください。これは到達できる範囲を狭める措置で、脆弱性そのものはなくなりません。ベンダーが示す回避策があるかどうかは、告知で確認してください。
背景
FireClusterは、WatchGuardのファイアウォールを複数台で組にし、片方が止まっても通信を続けられるようにする機能です。ピア同士は専用の回線で設定や状態を同期します。この回線は利用者の通信とは別に引かれるため、外から見えない内部の経路として信頼されやすい箇所です。今回の脆弱性は、その信頼を前提にした同期処理で相手の確認が抜けていたものです。
境界に置いたファイアウォールでroot権限の操作を許すと、機器単体の問題にとどまりません。その機器を通る通信の制御と設定を握られることになり、社内と外部の両方の通信に響きます。冗長化のために台数が増えた構成ほど、確認すべき機器が増える点にも注意が要ります。
よくある質問
Q.更新前に侵害されていたかどうかは、どう調べればよいですか。
Q.クラスタを組んでいない単体の機器は更新しなくてよいですか。
まだ分かっていないこと
- 実際の攻撃での悪用の有無や、攻撃コードの公開状況は分かっていません。
- 12.5.22以外の系統の修正版の有無と、FireClusterを使っていない機器への影響は分かっていません。
- ベンダーが示す回避策があるかどうかは分かっていません。いずれもベンダーの告知（psirt.watchguard.com）で最新の状況を確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| WatchGuard | Fireware OS |
12.0 以上 12.5.22 未満 |
12.5.22 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A missing authentication vulnerability in the FireCluster Sync processing allows an attacker positioned on the cluster interconnect, such as a compromised cluster peer or an on-path network attacker, to invoke privileged firewall management actions as root by sending a specially crafted request.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web psirt.watchguard.com
- web nvd.nist.gov
- web github.com