#928 WatchGuard 製ファイアウォール「Firebox」の VPN 接続を処理するサービスに境界外書込みの脆弱性

今回はWatchGuard製ファイアウォール「Firebox」に関する重要な脆弱性の報告を取り上げます。今回の脆弱性はVPN接続を処理するikedというサービスの境界外書き込みで、遠隔から認証を回避され任意のコード実行に至る可能性が指摘されています。本日は脆弱性の概要と影響、具体的な対処方法と確認手順、暫定回避策の扱い方まで、現場で実践できる知識をわかりやすく解説します。

この脆弱性はFireboxに搭載されるFireware OS上のikedというVPN接続処理サービスで発見された境界外書き込みの問題で、CVE-2025-9242として公表されています。（影響を受けるFireware OSのバージョンは2025.1、12.0から12.11.3まで、11.10.2から11.12.4_Update1までです。）悪用されると遠隔の第三者が認証を回避して任意のコードを実行する可能性があり、結果として機器の完全制御やネットワーク内横展開のリスクが生じます。現時点で悪用の報告は確認されていませんが、PoCが公開されると攻撃が増える懸念があるため、JPCERT/CCはWatchGuardの修正を適用するよう呼びかけています。WatchGuardは修正済みバージョンを公開しており、すぐ適用できない場合の暫定回避策も提供しています。現場としては該当機器のバージョン確認と優先的なパッチ適用、管理インタフェースのアクセス制限、ログ監視と侵害検知の強化が必要です。

境界外書込みとはプログラムがメモリの本来書き込むべき領域を越えてデータを書き込んでしまう現象です。攻撃者はこの挙動を利用してプログラムの制御フローを書き換え、任意コードを実行させることができます。特にネットワークサービスで発生すると遠隔からの攻撃が可能になり、認証回避や完全侵害につながる恐れがあります。

影響はまず当該Fireboxデバイス自体の制御を奪われる可能性がある点です。攻撃者が認証を回避して任意コードを実行できれば設定改竄や通信の傍受、VPN経由で内部ネットワークへの横展開が可能になります。さらに管理系アカウントや証跡の改竄により検出が難しくなるリスクもあります。したがって早急な対処が求められます。

まず該当機器のFireware OSバージョンを確認してください。次にWatchGuardのアドバイザリから修正済みバージョンを入手し、メンテナンスウィンドウを確保してアップデートを適用します。可能であれば中央管理ツールを使って一括適用し、適用後は再起動とバージョン確認を行ってください。適用が難しい場合はベンダーの暫定回避策を導入し、影響範囲の特定と優先順位付けを行ってください。

更新後は管理画面やコマンドでインストール済みのバージョンを確認し、該当サービスが期待通りに動作するか基本的な接続試験を実施してください。加えてログを遡り異常なアクセスや想定外の再起動がないかを確認し、IDSやSIEMで過去の攻撃兆候がないかを検出ルールで再評価してください。万が一のためにバックアップと復旧手順を事前に確認しておくことも重要です。

今すぐできる対策は管理インタフェースへのアクセス制限と管理ネットワークのセグメント化です。さらにVPNサービスへの不要な外部アクセスを遮断し、通信フィルタでIKEやIPsecのポートを必要最小限に制限してください。ログ監視の強化と脆弱性スキャンの実行で対象機器を特定し、ベンダーの暫定回避策を適用できるか早急に判断することが有効です。