WatchGuard выпустила исправление для AuthPoint Authentication Gateway. Обновление закрывает несколько уязвимостей в шлюзе аутентификации. Они позволяют подделать результат проверки, перехватить обмен с локальными провайдерами и нарушить работу сервиса входа. Затронуты развертывания с LDAP, RADIUS, ADFS или Active Directory.
Что именно исправляет версия 7.6.0
При этом релиз вышел 4 ноября 2026 года. Шлюз связывает AuthPoint с локальными каталогами и серверами RADIUS. Через него проходит вход сотрудников. По данным WatchGuard, следов эксплуатации этих уязвимостей в реальных атаках нет. Шлюз работает на стороне заказчика, поэтому сбой затрагивает вход сотрудников, а не один сервер.
Максимальная оценка среди исправленных уязвимостей - 9.2 по CVSS 4.0, шкале оценки уязвимостей. Атаки идут по сети. При этом учётные данные и участие пользователя не нужны. Условия зависят от конкретной уязвимости. Сеть остаётся обязательным условием для всех описанных сценариев.
Уязвимости затрагивают не все установки шлюза. Для CVE-2026-121638 нужны RADIUS, LDAP или ADFS. Для CVE-2026-121637 и CVE-2026-121639 требуется LDAP. При этом CVE-2026-121639 также затрагивает развертывания с Active Directory.
Подделка сертификата и результата входа
CVE-2026-121638 связана с проверкой сертификата. Атакующий на пути трафика может перехватить и изменить обмен шлюза с локальными провайдерами. Для атаки нужна позиция в сети, но не нужны учётные данные. При этом изменение обмена влияет на решение о доступе. В результате проверка входа опирается на изменённые данные.
CVE-2026-121637 связана с механизмом подтверждения входа через LDAP. При этом целостность данных проверяется недостаточно строго. Атакующий с действительной подписью заголовка может подделать результат проверки и идентификатор транзакции в теле запроса. Подпись заголовка не закрывает тело запроса. В результате сеанс получает неверный исход авторизации.
Эти уязвимости дополняют друг друга. Одна позволяет вмешаться в обмен с провайдером. Зато CVE-2026-121637 помогает подделать итог проверки на стороне шлюза. Поэтому защищённость продукта зависит от проверки сертификата и целостности ответа. После установки 7.6.0 шлюз должен строже проверять эти условия.
Отказ в обслуживании и повтор запроса
CVE-2026-121639 не требует аутентификации. Удалённый атакующий с доступом к хосту шлюза может прервать аутентификацию. Кроме того, он может удалить локальную конфигурацию синхронизации каталога. Для этого не нужен вход в панель управления. В результате сотрудники теряют доступ к сервисам, а настройку синхронизации приходится восстанавливать.
CVE-2026-121640 связана с повторной отправкой запроса. Атакующий, который увидел легитимный запрос между компонентами шлюза, может отправить его снова. После этого он способен выполнить административные действия без авторизации. К ним относится и остановка сервиса аутентификации. Повторная отправка не требует новых учётных данных.
Эти уязвимости затрагивают разные части шлюза. Также CVE-2026-121639 может нарушить вход или синхронизацию. CVE-2026-121640 позволяет повторить запрос для административных действий. При этом исходная проверка подлинности уже не помогает. Поэтому обновление нужно для всех, кто использует шлюз в рабочем контуре.
Как обновиться и что проверить
Исправление доступно в AuthPoint Authentication Gateway 7.6.0. При этом обходных мер WatchGuard не приводит. Поэтому администраторам стоит установить новую версию. После обновления нужно проверить работу LDAP, RADIUS, ADFS и Active Directory. Уязвимы версии ниже 7.6.0, начиная с 1.0.
Отдельно проверьте сценарии входа через каждый подключённый провайдер. Также убедитесь, что синхронизация каталога работает. Если шлюз принимает трафик из недоверенных сетей, ограничьте доступ к его хосту. Это снизит риск до установки патча. Проверьте журналы входа на необычные сеансы.
После патча шлюз проверяет сертификат при обмене с провайдерами. Также он должен корректно проверять целостность ответа LDAP. Для критических функций появляется обязательная аутентификация. Повторный запрос больше не проходит как новый. Поэтому установка 7.6.0 меняет не только набор проверок, но и условия доступа к административным операциям.
Ссылки
- https://psirt.watchguard.com/CVE-2026-121640
- https://psirt.watchguard.com/CVE-2026-121639
- https://psirt.watchguard.com/CVE-2026-121638
- https://psirt.watchguard.com/CVE-2026-121637
