- Cosa può fare
- Inviando traffico VPN costruito ad arte, un attaccante su Internet può prendere il controllo del firewall senza conoscere alcuna password, e da lì intercettare traffico o entrare nella rete aziendale.
- Cosa mette in pericolo
- Il firewall perimetrale, le VPN per sedi e utenti remoti, il traffico aziendale e l'accesso alla rete interna.
- Chi è colpito
- WatchGuard Fireware OS 11.x (fino a 11.12.4+541730), da 12.0 a prima di 12.11.4, da 2025.0 a prima di 2025.1.1; Firebox T15/T35 da 12.0 a prima di 12.5.13; versioni FIPS da 12.0 a prima di 12.3.1+722811. Interessati i Firebox con Mobile VPN IKEv2 o Branch Office VPN IKEv2 verso peer con gateway dinamico (anche se configurati in passato e poi rimossi, in presenza di BOVPN verso peer statici)
Cosa fare
- Aggiornare Fireware OS a 2025.1.1, 12.11.4, 12.5.13 (T15/T35) o 12.3.1+722811 (FIPS) o successive
- I Firebox con Fireware 11.x sono fuori supporto: pianificare la sostituzione o l'aggiornamento a una versione supportata
- Se il Firebox usa solo BOVPN verso peer statici e non può essere aggiornato subito, applicare la mitigazione temporanea indicata da WatchGuard per BOVPN IPSec/IKEv2
- Dopo l'aggiornamento, verificare log e configurazione e valutare il cambio delle credenziali amministrative e dei segreti VPN