WatchGuard Fireware OS: thiếu xác thực trong FireCluster Sync cho phép thực hiện tác vụ firewall với quyền root

Lỗ hổng thiếu xác thực trong quá trình xử lý FireCluster Sync cho phép kẻ tấn công ở trên cluster interconnect, chẳng hạn như một cluster peer đã bị xâm nhập hoặc một kẻ tấn công on-path trên mạng, gọi các tác vụ quản trị firewall đặc quyền với quyền root bằng cách gửi một request được tạo đặc biệt.

• Fireware OS, cấu hình Default: bị ảnh hưởng trong các nhánh >= 2025.1, < 2026.4 và >= 12.0, < 12.12.4. WatchGuard liệt kê >= 2026.4 và >= 12.12.4 là không bị ảnh hưởng cho cấu hình Default.
• Fireware OS trên T15/T35: bị ảnh hưởng trong nhánh >= 12.0, < 12.5.22. WatchGuard liệt kê >= 12.5.22 là không bị ảnh hưởng.
• Điều kiện cấu hình bổ sung: Firebox phải là thành viên của một FireCluster. Trạng thái của các nhánh hoặc model không được nêu ngoài phạm vi trên cần được xác minh riêng, không nên suy ra từ một bản sửa cho nhánh khác.

Lỗ hổng nằm trong quá trình xử lý FireCluster Sync, nơi một request được tạo đặc biệt có thể gọi các tác vụ quản trị firewall đặc quyền mà không cần xác thực. Kẻ tấn công phải tiếp cận được cluster interconnect, chẳng hạn thông qua một cluster peer đã bị xâm nhập hoặc vị trí on-path trên mạng kết nối cluster. Firebox phải được cấu hình là thành viên của FireCluster để chịu ảnh hưởng. Bản ghi mô tả cuộc tấn công không cần quyền trước đó, không cần user interaction và có độ phức tạp thấp. Advisory phân loại vấn đề này là CWE-306 Missing Authentication for Critical Function và CWE-862 Missing Authorization, đồng thời cũng liệt kê CWE-290 và CWE-77. Chi tiết về định dạng request, giao thức, parser và đường dẫn thực thi cụ thể không được công bố, vì vậy không nên suy đoán thêm về payload hoặc endpoint.

Lỗ hổng có thể bị khai thác từ cluster interconnect, không phải từ một vị trí mạng tùy ý. Các vị trí được nêu gồm cluster peer đã bị xâm nhập và kẻ tấn công on-path trên mạng kết nối cluster. Bản ghi cho biết không cần xác thực hoặc quyền trước đó, không cần người dùng tương tác và request có thể được gửi với độ phức tạp thấp. WatchGuard cho biết họ chưa nhận thấy việc khai thác lỗ hổng này trong thực tế. Bản ghi không cung cấp exploit công khai, chiến dịch, nạn nhân hoặc chỉ dấu khai thác cụ thể.

• Khi bị khai thác, request không được xác thực có thể kích hoạt các firewall management action chạy với quyền root.
• Kết quả kỹ thuật có thể bao gồm thay đổi trái phép đối với trạng thái hoặc cấu hình firewall, từ đó ảnh hưởng đến tính toàn vẹn của chính sách bảo mật và tính sẵn sàng của thiết bị.
• Quyền root làm tăng mức độ hậu quả có thể xảy ra trên appliance, nhưng advisory không liệt kê đầy đủ các tác vụ cụ thể mà request có thể gọi.
• Điều kiện tiếp cận cluster interconnect giới hạn đường tấn công so với một dịch vụ công khai trên Internet; mức phơi nhiễm thực tế phụ thuộc vào thiết kế và bảo vệ của cluster network.

• Kẻ tấn công có thể thực hiện các firewall management action đặc quyền với quyền root nếu tiếp cận được cluster interconnect.
• Điều này có thể dẫn đến thay đổi trái phép trạng thái quản trị hoặc chính sách firewall, làm suy yếu kiểm soát lưu lượng, gây gián đoạn dịch vụ hoặc làm sai lệch cấu hình bảo mật.
• Vì điều kiện khai thác gắn với cluster interconnect, phạm vi phơi nhiễm phụ thuộc vào cách tổ chức bảo vệ mạng kết nối các thành viên FireCluster.
• Bản ghi không xác nhận một vụ xâm nhập, mất dữ liệu hoặc sự cố vận hành cụ thể nào đã xảy ra.

1. Nâng cấp các Firebox thuộc nhánh Default bắt đầu từ 2025.1 lên Fireware OS 2026.4.
2. Nâng cấp các Firebox thuộc nhánh Default 12.0 lên Fireware OS 12.12.4.
3. Nâng cấp Firebox T15/T35 lên Fireware OS 12.5.22.
4. Kiểm kê riêng từng thiết bị và từng nhánh phát hành; không coi bản sửa của một nhánh là bằng chứng rằng mọi nhánh song song đã được sửa.
5. Nếu chưa thể nâng cấp ngay, xem cluster interconnect là vùng nhạy cảm, rà soát khả năng giảm truy cập trái phép hoặc khả năng on-path trên mạng này. Đây chỉ là biện pháp giảm phơi nhiễm tạm thời, không thay thế cho việc cài đặt bản Fireware OS đã được xác nhận sửa lỗi.

1. Lập danh sách các Firebox đang được cấu hình làm thành viên của FireCluster; đây là điều kiện cấu hình cần thiết để bị ảnh hưởng.
2. Kiểm tra phiên bản Fireware OS đang chạy trên các thiết bị FireCluster và đối chiếu với các nhánh bị ảnh hưởng trong phần affected_summary.
3. Rà soát topology và quyền truy cập vào cluster interconnect, bao gồm các peer có thể bị xâm nhập và các vị trí có khả năng quan sát hoặc can thiệp trên đường truyền.
4. Kiểm tra audit record để tìm các firewall management action hoặc thay đổi cấu hình đặc quyền không được giải thích trong thời gian có khả năng phơi nhiễm. Đây là biện pháp rà soát thận trọng, không phải log signature đã được WatchGuard xác nhận.
5. Không có IOC, sự kiện log hoặc mẫu request cụ thể nào được công bố. Việc không thấy log đáng ngờ không chứng minh thiết bị an toàn.