Firebox

Betroffen ist der iked-Prozess im Betriebssystem der WatchGuard-Firebox-Appliances, also die Komponente, die den Aufbau von IPsec-VPN-Verbindungen über das IKEv2-Protokoll abwickelt. Dort kommt es zu einem Schreibzugriff außerhalb des vorgesehenen Speicherbereichs. Ein Angreifer kann diesen Fehler aus der Ferne und ohne gültige Zugangsdaten auslösen und dadurch eigenen Programmcode auf dem Gerät ausführen. Anfällig sind Konfigurationen mit IKEv2-VPN für mobile Nutzer sowie Standort-zu-Standort-VPNs über IKEv2 mit einem dynamischen Gegenstellen-Gateway. Heikel ist eine Besonderheit: Wurden solche Konfigurationen früher eingerichtet und später gelöscht, kann die Appliance weiterhin angreifbar bleiben, sofern noch ein Standort-VPN zu einer festen Gegenstelle eingerichtet ist. Da VPN-Endpunkte per Definition aus dem Internet erreichbar sind und die Firebox als Sicherheits-Gateway am Netzübergang steht, führt eine erfolgreiche Ausnutzung zur Kontrolle über ein zentrales Element der Netzwerkabsicherung.