Firebox

Die Schwachstelle steckt im Betriebssystem Fireware OS der WatchGuard-Firebox-Firewalls, genauer im iked-Prozess, der für den Aufbau verschlüsselter VPN-Verbindungen über das Protokoll IKEv2 zuständig ist. Es handelt sich um einen Schreibzugriff außerhalb der vorgesehenen Speichergrenzen: Speziell präparierte Daten bringen den Prozess dazu, in Speicherbereiche zu schreiben, die nicht für ihn bestimmt sind. Dadurch kann ein Angreifer aus der Ferne und ohne gültige Zugangsdaten beliebigen Programmcode auf dem Gerät ausführen. Betroffen sind Konfigurationen mit Mobile-User-VPN über IKEv2 sowie Branch-Office-VPN über IKEv2, wenn dort ein dynamischer Gateway-Gegenstelle (dynamic gateway peer) eingerichtet ist. Da die VPN-Funktion naturgemäß aus dem Internet erreichbar ist, bildet der iked-Prozess einen unmittelbar exponierten Angriffspunkt. Eine erfolgreiche Ausnutzung führt zur Übernahme der Firewall, die als zentrale Schutzkomponente den gesamten dahinterliegenden Netzwerkverkehr kontrolliert.