30秒で判断
- 対応すべき人: WatchGuard Firebox（Fireware OS）で IKEv2 のモバイルユーザーVPN、または動的ゲートウェイピア向けのブランチオフィスVPN（IKEv2） を構成している/過去に構成していた環境
- 対応不要な人: WatchGuard Firebox を使用していない、または IKEv2 VPN を一度も構成していない環境
- 確認コマンド: Fireware OS のバージョンと、IKEv2 を用いた Mobile User VPN / Branch Office VPN 設定の有無を管理コンソールで確認
概要
WatchGuard Firebox の Fireware OS における iked プロセスに、境界外書き込み（Out-of-bounds Write, CWE-787）の脆弱性が見つかりました（CVSS 9.8）。
IKEv2 を用いた モバイルユーザーVPN、または 動的ゲートウェイピア向けのブランチオフィスVPN を構成している Firebox では、未認証のリモート攻撃者が任意コードを実行できる可能性があります。注意すべき点として、過去にこれらの IKEv2 構成を作成したのちに削除していても、静的ゲートウェイピア向けのブランチオフィスVPNが残っている場合は依然として影響を受けるとされています。本脆弱性は CISA の Known Exploited Vulnerabilities (KEV) カタログに収録されており、境界防御機器という性質からも優先的な対応が推奨されます。
CVSSベクトル
| 指標 | 値 |
|---|---|
| Attack Vector | Network |
| Attack Complexity | Low |
| Privileges Required | None |
| User Interaction | None |
| CVSSスコア | 9.8 (Critical) |
影響を受けるソフトウェア
| 製品 | 条件 |
|---|---|
| WatchGuard Firebox（Fireware OS） | IKEv2 のモバイルユーザーVPN、または動的ゲートウェイピア向けブランチオフィスVPNを構成（過去構成分を含む） |
正確な影響バージョンと修正版は、WatchGuard PSIRT のアドバイザリ（wgsa-2025-00027）を確認してください。
修正バージョンと回避策
- 対策: WatchGuard PSIRT の情報に従い、修正済みの Fireware OS へアップデートする
- 暫定対策: 不要になった IKEv2 VPN 構成（静的ゲートウェイピア向けブランチオフィスVPNを含む）を棚卸しし、使用していない設定を削除する。管理・VPN インターフェースへのアクセス元を限定する
関連リンク
データソース: NVD (NIST), WatchGuard PSIRT, CISA AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。