Diverse kritische Schwachstellen in WatchGuard Fireware OS

Das Computer Emergency Response Team der Bundesverwaltung (CERT-Bund) warnt vor einer Reihe schwerwiegender Lücken die Sicherheits-Appliances von WatchGuard betreffen. Sieben der Lücken haben CVSS-Werte zwischen 9,1 und 9,5 von 10,0 und sind damit vom Schweregrad „critical“. Das CERT-Bund bewertet seine Warnung zu allen Lücken zusammen sogar mit dem Maximalwert 10,0.

Von den 18 Lücken, auf die das CERT-Bund hinweist, betreffen 17 Fireware OS, ein Linux-basiertes Betriebssystem für Appliances von WatchGuard, und eine den zugehörigen VPN-Client für Windows. Mehrere Lücken greifen nur bei bestimmten Konfigurationen, etwa mit aktiviertem Access Portal oder SIP-Proxy, bei Appliances, die als FireCluster laufen oder im FIPS-Modus mit externem Logserver. Die Lücken sind teilweise entfernten, nicht angemeldeten Angreifern zugänglich und erlauben ihnen, beliebigen Code auszuführen (remote code execution; mitunter sogar mit Root-Rechten), die Appliances lahmzulegen (denial of service) oder unwartbar zu machen sowie Sicherheitsbarrieren zu umgehen.

Die Lücken stellen zusammen einen umfassenden Werkzeugkasten für Angreifer dar – der zum Glück aktuell wohl noch nicht ausgenutzt wird: WatchGuard gibt für alle 18 Lücken an, von keinen laufenden Angriffen zu wissen. Ein Zustand, der sich schnell ändern kann. WatchGuard-Kunden mit betroffenen Appliances sollten dringend auf Fireware OS 2026.4 oder 12.12.4 aktualisieren, Besitzer der Modelle T15 und T35 auf 12.5.22 und Nutzer des VPN-Clients auf 2026.4.