Fireware OSに認証不要で管理操作される脆弱性、修正版あり
WatchGuardのFireware OSで、FireClusterを有効にした機器が、認証なしの外部からの要求で管理者レベルの操作を実行されるおそれがあります。複数のFireboxを冗長構成で運用している組織が対象で、修正版への更新が必要です。更新前に、クラスタリングの有効化の有無と、管理IPに届く範囲を確認してください。
急ぎ度: 早めに
CVSS v4は9.2で認証も不要ですが、KEVへの掲載は確認されておらず、修正版12.5.22が出ているため、計画を前倒しして早めに更新するのが妥当です。
関係があるか
FireClusterでFireboxを冗長化し、Fireware OSの12.0以上12.5.22未満を使っている組織が対象です。脆弱性はクラスタリング機能が有効なときに成立するため、単体で運用している機器は、この条件からは外れます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| WatchGuard Fireware OS（FireClusterを有効にした機器） | 12.0以上、12.5.22未満 | 12.5.22 |
確かめ方
- 1各Fireboxの管理画面で、動作しているFireware OSの版を確認し、12.0以上12.5.22未満に当たる機器を洗い出します。
- 2該当する機器で、FireClusterの設定が有効になっているかを確認します。クラスタを組んでいる場合は、構成するすべての機器の版を見ます。
- 3FireClusterの管理IPを割り当てているネットワークを確認し、どこから到達できるかを把握します。
何が起きたか
Fireware OSのFireCluster機能に、認証なしで管理者レベルの操作を実行されてしまう脆弱性が見つかりました。複数のFireboxを組み合わせて冗長化する際、機器同士が設定や状態を同期する部分に問題があります。
原因は、同期を受け持つデーモンが、要求の送り手を確認しないまま処理を受け付けてしまうことです。分類上は認証の欠落（CWE-306）、認可の欠落（CWE-862）、コマンドに相当する指示の注入（CWE-77）にまたがります。
筆者は、境界に置く機器のクラスタ構成が対象であることから、該当する組織では優先度を上げて更新計画に載せるのが妥当だと見ています。一方で、FireClusterを使っていない環境は、直接の影響を受ける見込みが小さいでしょう。
攻撃の流れ
-
1
管理IPに到達
ネットワーク上で、FireClusterの管理IPに通信が届く位置を確保する。
-
2
要求を送信
細工した要求を、同期を受け持つデーモンに送りつける。
-
3
認証なしで受理
送り手の確認が行われないまま、要求が処理される。
-
4
管理操作を実行
特権が必要なシステムレベルの操作が、機器上で実行される。
どう悪用されるか
悪用に認証は要りません。ネットワーク経由でFireClusterの管理IPに通信できれば足り、管理者や利用者に何かをさせる必要もありません。前提になるのは、クラスタリング機能が有効になっていることです。
CVSS v4のベクトルには、攻撃に特定の状況が要ることを示す指標（AT:P）が含まれます。具体的な内容は不明です。
成功すると、機器上で特権が必要なシステムレベルの管理操作を、攻撃者が実行できます。評価上、機密性・完全性・可用性のいずれにも高い影響があります。ファイアウォールの設定の読み出しや書き換え、機能の停止などが考えられます。
今すぐやること
-
1
対象の機器を洗い出す
Fireware OSの版がどの範囲に当たるか、FireClusterが有効かを、すべての機器で確認します。
-
2
修正版12.5.22に更新する
クラスタ構成の更新手順はベンダーの告知に従います。冗長構成なので、切り替えの順序と作業時間をあらかじめ決めておくと安心です。
-
3
管理IPに届く範囲を絞る
更新までの間も、管理IPに到達できる端末とネットワークを見直し、不要な経路は閉じます。更新後も、この制限は残しておくと被害を抑えられます。
-
4
更新後に版と構成を確認する
更新した機器すべてで版が12.5.22以上であることを確認します。あわせて、身に覚えのない設定変更や管理操作がないか、ログと構成を見直します。
すぐ更新できないとき
すぐに更新できない場合は、FireClusterの管理IPに通信できる範囲を最小限にします。同期用のネットワークを他の業務用ネットワークから分離し、信頼できる機器だけが届くようにします。ただし、脆弱性そのものはなくならないため、一時的な措置として扱い、修正版への更新を予定してください。
背景
Fireware OSは、WatchGuardのファイアウォール製品であるFireboxに載るOSです。FireClusterは、そのFireboxを複数台組み合わせて冗長化する機能で、機器同士が設定や状態を共有して、片方が止まっても通信を続けられるようにします。つまり、クラスタを組む組織は、止められない拠点の出入口を守っていることが多いと考えられます。
今回問題になったのは、その機器間の同期を受け持つ通信口に認証がなかったことです。クラスタ内の信頼できる機器同士だけが使う前提の管理用の通信口は、外部から届くことが想定されにくく、守りが薄くなりがちです。管理IPをどのネットワークに置いているかが、そのまま影響の大きさに関わります。
よくある質問
Q.管理IPが社内ネットワークの中だけにあれば、更新は後回しでよいですか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは公表されていません。WatchGuardの告知とKEVの掲載状況を、あわせて確認してください。
- 攻撃が成立するために必要な追加の条件（CVSS v4のAT:Pに当たる部分）の詳細は分かっていません。
- ベンダーが修正版以外の回避策を示しているかは確認できていません。WatchGuardのアドバイザリ（https://psirt.watchguard.com/CVE-2026-93865）の更新を見てください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| WatchGuard | Fireware OS |
12.0 以上 12.5.22 未満 |
12.5.22 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A missing authentication vulnerability in the Fireware OS FireCluster synchronization daemon allows a remote, unauthenticated attacker to invoke privileged system-level administrative actions by sending a specially crafted request to the FireCluster management IP when the clustering feature is enabled.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web psirt.watchguard.com
- web nvd.nist.gov
- web github.com