Fireware OSのAccess Portalに脆弱性、修正版あり
WatchGuardのFireware OSで、Access Portalを有効にした機器に、認証なしでメモリを壊される重大な脆弱性が見つかりました。12.0から12.5.21までを使っていて、Access Portalを有効にしている組織が対象です。該当する機器を洗い出し、修正版の12.5.22へ更新してください。
急ぎ度: 早めに
CVSS v4は9.2で認証なしに届き、修正版12.5.22も出ていますが、悪用の事例は伝えられておらず、影響はAccess Portalを有効にした機器に限られます。
関係があるか
WatchGuardのFirebox（Fireware OS搭載機器）でAccess Portalを有効にし、社外のネットワークから到達できる状態にしている組織が当てはまります。Access Portalを使っていない機器は、この脆弱性の条件から外れます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| WatchGuard Fireware OS | 12.0以上、12.5.22未満 | 12.5.22 |
確かめ方
- 1Fireware Web UIなどの管理画面で、機器ごとにFireware OSの版を確認します。12.0以上で12.5.22より前なら対象です。
- 2同じ管理画面でAccess Portalの設定を開き、機能が有効になっているかを確認します。無効なら、この脆弱性の条件には当てはまりません。
- 3有効だった場合は、その機器が社外のネットワークから到達できる状態かを、公開設定とネットワーク構成図で確認します。
何が起きたか
Fireware OSのAccess Portalに、機器のメモリを壊せる重大な脆弱性があります。
原因は、Access Portalが使うWebSocket接続の処理にあります。数値の計算が桁あふれ（整数オーバーフロー）を起こし、ヒープ上のバッファの範囲を越えて書き込みが行われます。分類はCWE-190とCWE-787で、深刻度はCVSS v4が9.2、評価はcriticalです。
WatchGuardは2026年10月27日にアドバイザリを公開し、12.5.22で修正したとしています。
攻撃の流れ
-
1
機器を見つける
外部から届くAccess Portalが有効な機器を探します。
-
2
細工した要求
ログイン前の段階で、WebSocket接続に細工した要求を送ります。
-
3
桁あふれ発生
サイズの計算が桁あふれを起こし、確保した領域より小さい値になります。
-
4
範囲外へ書き込み
バッファの外側のメモリが書き換えられ、機器の動作に影響が出ます。
どう悪用されるか
ログインは要りません。ネットワーク越しに到達できれば、利用者の操作を待たずに成立します。前提になるのはAccess Portalが有効なことで、無効の機器は条件から外れます。評価の記号には、成立に追加の条件（AT:P）が付いていますが、その中身は示されていません。
成功した場合の影響は、機密性・完全性・可用性のいずれも高いと評価されています。範囲外書き込みは一般に、機器の停止や動作の乗っ取りにつながり得る種類のものです。境界に置くファイアウォールが対象なので、内部ネットワークへの入口そのものが影響を受けます。
今すぐやること
-
1
対象機器を洗い出す
管理しているすべてのFireboxについて、Fireware OSの版とAccess Portalの有効・無効を一覧にします。拠点や子会社に置いた機器も漏らさないでください。
-
2
有効にしている機器を優先する
12.5.22より前で、Access Portalが有効かつ外部から到達できる機器を最優先にします。使っていない機能が有効のままなら、この機会に整理します。
-
3
修正版12.5.22に更新する
設定のバックアップを取り、メンテナンス時間を確保したうえで、Fireware OSを12.5.22に更新します。更新後は、管理画面で版が変わったことを確認します。
-
4
更新後の動作を確認する
Access Portal経由の業務アクセスが通るかを、利用部門と一緒に確かめます。あわせてWatchGuardのアドバイザリを再度読み、追記や訂正がないかを見ます。
すぐ更新できないとき
すぐに更新できない場合、Access Portalを使っていなければ無効にします。使っている場合は、接続元を取引先や自社拠点など必要な範囲に絞り、不要な公開をやめます。いずれも露出を減らす手段で、版が古いままなら脆弱性は残ります。ベンダー公式の回避策の有無は、アドバイザリで確認してください。
背景
Fireware OSは、WatchGuardのFireboxで動くファイアウォールの基盤ソフトウェアです。社内ネットワークとインターネットの境目に置かれ、VPNや通信の制御を受け持ちます。Access Portalは、社外の利用者がブラウザーから社内のWebアプリなどに入れる機能です。専用のクライアントを配らずにリモートアクセスを用意できるため、在宅勤務や取引先向けに使われています。
今回の脆弱性は、WebSocket接続の処理にあります。WebSocketは、ブラウザーと機器が接続を保ったまま通信を続ける仕組みで、ログインより前の段階で受け付ける部分が欠陥の場所です。境界の機器は、利用者の認証を待たずに外部からの通信を処理します。そのため、この段階にメモリの扱いの誤りがあると、ID・パスワードの強さは守りになりません。
よくある質問
Q.Access Portalを無効にすれば、更新しなくてもよいですか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうか、攻撃を受けた機器に残る痕跡（IoC）は、まだ公表されていません。最新の状況はWatchGuardのアドバイザリで確認してください。
- 12.0より前の版や、ほかの系統のFireware OSが影響を受けるかは分かっていません。また、成立に必要な追加の条件や、実際にどこまでの被害が起こり得るかも示されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| WatchGuard | Fireware OS |
12.0 以上 12.5.22 未満 |
12.5.22 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
An integer overflow vulnerability in the WebSocket connection handling used by WatchGuard Fireware OS's Access Portal allows a remote, unauthenticated attacker to write beyond the bounds of a heap buffer by sending a specially crafted request while the Access Portal feature is enabled.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web psirt.watchguard.com
- web nvd.nist.gov
- web github.com