Внутренний API точек доступа WatchGuard допускает выполнение команд, уязвим и Fireware OS

Двадцать одна уязвимость закрыта в продуктах WatchGuard: операционной системе Fireware OS, прошивке точек доступа WatchGuard AP и комплексе Dimension для сбора и анализа журналов. Часть проблем не требует учётных данных - достаточно сетевого доступа к устройству. Для тех, кто держит межсетевые экраны Firebox и точки доступа на границе сети, это повод обновиться без промедления. Следов реального использования WatchGuard не нашла, однако технические подробности опубликованы, и рабочие примеры эксплуатации могут появиться в ближайшие недели.

Детали узявимостей

Самая высокая оценка - 9.3 по шкале CVSS - у внедрения команд во внутреннем управляющем интерфейсе точек доступа (CVE-2026-86102). Уязвимость обходится без учётных данных: достаточно работать в той же сети, что и точка, и отправить особым образом составленный запрос. В ответ устройство исполнит произвольные команды в своей операционной системе. Рядом по значимости стоит ошибка в цепочке BOVPN Over TLS, оценка 9.2 (CVE-2026-86131). Тот, кто управляет удалённым VPN-сервером, к которому подключается Firebox, получает возможность выполнить команды с правами root на самом экране. Проблему усугубляет некорректная проверка сертификата: устройство недостаточно убеждается, что на другом конце именно доверенный узел, и потому охотно принимает чужие данные конфигурации.

Несколько уязвимостей в Fireware OS относятся к сетевым службам и тоже не требуют входа в систему. Переполнение буфера в службе определения типа устройства по DHCP-запросам позволяет злоумышленнику из соседнего сегмента сети выполнить код или обрушить процесс, оценка 8.7. Исчерпание ресурсов в процессе входа даёт удалённый отказ в обслуживании любому, кто дотянется до интерфейса управления, - снова 8.7. Ещё одно разыменование нулевого указателя в процессе аутентификации роняет управляющую службу и приводит к тому же результату, 8.7. Дальше идут проблемы уровня 8.2: разыменование нулевого указателя при обработке пакетов IPv6 в NetFlow и целочисленное понижение в службах IKE и IKEv2, где подделанное значение длины в зашифрованном сообщении приводит к падению процесса. Все эти ошибки объединяет одно: атакующему не нужны ни логин, ни пароль, ни доступ к веб-интерфейсу.

Часть проблем, наоборот, требует учётной записи, но и они опасны. Переполнение буфера в службе борьбы со спамом spamBlocker (8.6) позволяет администратору уронить службу или добиться выполнения кода. Обход пути в агенте управления веб-интерфейса (8.2) даёт администратору чтение и перечисление любых локальных файлов, включая те, что лежат вне каталога веб-интерфейса. Ошибка в обработке сессий единого входа через SAML (7.5) работает как звено в цепочке: тот, кто уже умеет записывать файлы на устройство, подкладывает свой файл сессии и исполняет код в контексте службы единого входа. Ошибка авторизации в процессе входа через SAML (7.2) открывает пользователю Access Portal доступ к Mobile VPN with SSL, к которому его не допускали. Низкопривилегированный пользователь из веб-интерфейса запускает и тут же прерывает диагностические задачи (7.1) и тем самым выводит из строя диагностический инструментарий. Ошибка авторизации в API управления wgagent (7.1) позволяет такому же пользователю, включая гостевую или доступную только для чтения учётную запись администратора, обрушить службу и прочитать доступные ей файлы. В обратном прокси Access Portal ошибка авторизации (5.3) даёт доступ к чужим веб-приложениям: пользователь запрашивает ресурс, на который у него есть права, а получает соседний.

Попутно закрыта уязвимость межсайтовой подделки запроса в Dimension с оценкой 7.0. Администратора уговаривают открыть специально подготовленную страницу, и та без его ведома создаёт снимок базы данных - это отнимает ресурсы и мешает работе комплекса. Обработчик XML на базе библиотеки libxml2 получил чтение за границами буфера (2.9), что тоже ведёт к отказу в обслуживании.

Исправления разошлись по нескольким ветвям, и выбрать нужно ту, что соответствует установленной версии. Устройства на ветке 2026.x обновляются до Fireware OS 2026.3.2 или 2026.2.3, на 12.12.x - до 12.12.3, на 12.5.x - до 12.5.21. Для сборок EUCC с длительным сроком поддержки актуальна версия 12.11.10. Точки доступа переводят на 3.4.8, Dimension - на 2.3.1. Стоит учесть, что ветка 12.5.x обслуживает в том числе младшие модели Firebox, поэтому проверять список устройств нужно внимательно.

Межсетевые экраны и точки доступа стоят на границе сети, и ошибки в них интересуют в первую очередь тех, кто ищет вход внутрь инфраструктуры. Отсюда практический вывод: до установки обновлений веб-интерфейс управления лучше закрыть от внешних адресов и оставить доступным только из служебного сегмента. Заодно имеет смысл проверить, какие узлы вообще имеют доступ к точкам доступа и к портам IKE, - именно оттуда приходят запросы, обходящиеся без аутентификации. Отдельного внимания заслуживают учётные записи с правами только для чтения: в этой истории они оказались достаточным инструментом, чтобы ронять службы и читать файлы. Опубликованные детали и отсутствие подтверждённой эксплуатации в реальных атаках не отменяют простого правила: периметр обновляют раньше, чем остальную инфраструктуру.

Детали узявимостей

Ссылки