CVE-2025-14733
WatchGuard Firebox Out of Bounds Write Vulnerability
Beschreibung
CVE-2025-14733 ist eine kritische Out-of-bounds-Write-Schwachstelle (CVSS 9.8 CRITICAL) in WatchGuard Fireware OS, dem Betriebssystem der WatchGuard Firebox-Firewall-Appliances. Die Schwachstelle betrifft den IKEv2-VPN-Dienst und ermöglicht es einem nicht authentifizierten, entfernten Angreifer, beliebigen Code auszuführen. Betroffen sind sowohl Mobile User VPN als auch Branch Office VPN mit IKEv2-Konfiguration. Die Schwachstelle wurde in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen. Der EPSS-Wert von 44,16 % (97,5. Perzentil) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| watchguard | fireware | >= 11.10.2, < 12.5.15; >= 11.10.2, < 12.11.6; >= 2025.1, < 2025.1.4 |
Referenzen
- https://psirt.watchguard.com/CVE-2025-14733(Broken Link)
- https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00027(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-14733(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-bounds Write
CWE-787 beschreibt Schwachstellen, bei denen eine Anwendung Daten an eine Speicherposition schreibt, die außerhalb des vorgesehenen Puffers liegt. Dies kann zu Speicherkorruption, Programmabstürzen oder -- wie im Fall von CVE-2025-14733 -- zur Ausführung beliebigen Codes führen. Bei der WatchGuard-Schwachstelle tritt der Out-of-bounds-Write im IKEv2-Verarbeitungscode auf, der für die Verarbeitung von VPN-Verbindungsanfragen zuständig ist. Mehr erfahren
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-14733 sind mit einem CVSS-Score von 9.8 nahezu maximal. Vertraulichkeit (C:H), Integrität (I:H) und Verfügbarkeit (A:H) sind jeweils vollständig betroffen. Ein erfolgreicher Angriff ermöglicht die vollständige Übernahme der WatchGuard Firebox-Appliance. Da Firewalls typischerweise an der Netzwerkgrenze positioniert sind, kann eine Kompromittierung den gesamten Netzwerkverkehr betreffen: Der Angreifer kann Traffic abfangen, umleiten oder manipulieren und erhält Zugriff auf das geschützte interne Netzwerk. Der Angriffsvektor ist besonders gefährlich, da keine Authentifizierung (PR:N), keine Benutzerinteraktion (UI:N) und keine besonderen Voraussetzungen (AC:L) erforderlich sind. IKEv2-VPN-Dienste sind konstruktionsbedingt aus dem Internet erreichbar, was die Schwachstelle für jeden Angreifer zugänglich macht, der die IP-Adresse der Firewall kennt. Der EPSS-Wert von 44,16 % (97,5. Perzentil) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit. Die Aufnahme in den KEV-Katalog mit Frist zum 26. Dezember 2025 bestätigt aktive Ausnutzung. Der Ransomware-Status ist als "Unknown" eingestuft.
Exploit-Reifegrad
CVE-2025-14733 wurde von CISA in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen mit einer Behebungsfrist bis zum 26. Dezember 2025, was eine aktive Ausnutzung bestätigt. Der EPSS-Wert von 44,16 % im 97,5. Perzentil zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit. WatchGuard hat ein offizielles Security Advisory (WGSA-2025-00027) veröffentlicht. Da IKEv2-VPN-Dienste per Design aus dem Internet erreichbar sein müssen, ist die Angriffsfläche groß und die Schwachstelle besonders attraktiv für Angreifer. Detaillierte Informationen zu öffentlichen Exploits liegen vor. Der Ransomware-Zusammenhang ist als "Unknown" klassifiziert, jedoch sind Firewall-Kompromittierungen ein bekannter Vektor für Ransomware-Angriffe.
Behebung
- Fireware OS sofort aktualisieren -- Aktualisieren Sie auf Fireware OS Version 12.5.15 oder höher (12.x-Zweig), 12.11.6 oder höher (12.11.x-Zweig) bzw. 2025.1.4 oder höher (2025.x-Zweig) gemäß dem WatchGuard Security Advisory.
- IKEv2-VPN temporär deaktivieren -- Falls ein sofortiges Update nicht möglich ist, deaktivieren Sie vorübergehend Mobile User VPN und Branch Office VPN mit IKEv2. Prüfen Sie, ob ein Fallback auf IKEv1 oder SSL-VPN als temporäre Alternative möglich ist.
- Dynamische Gateway-Konfiguration prüfen -- Die Schwachstelle betrifft spezifisch IKEv2 mit dynamischer Gateway-Konfiguration (dynamic gateway peer). Überprüfen Sie Ihre VPN-Konfigurationen auf diese Einstellung.
- Netzwerk-Forensik durchführen -- Untersuchen Sie VPN-Verbindungslogs auf verdächtige IKEv2-Verbindungsversuche, insbesondere von unbekannten IP-Adressen, die auf Exploit-Versuche hindeuten könnten.
- IDS/IPS-Signaturen aktualisieren -- Stellen Sie sicher, dass vorgeschaltete oder parallele Intrusion-Detection-Systeme aktuelle Signaturen für diese Schwachstelle verwenden.
Technische Details
Der CVSS v3.1-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H ergibt einen Score von 9.8 (CRITICAL). Angriffsvektor (AV:N): Die Schwachstelle ist über das Netzwerk ausnutzbar, wobei der IKEv2-Dienst (UDP-Port 500 und 4500) als Eintrittspunkt dient. Angriffskomplexität (AC:L): Die Ausnutzung erfordert keine speziellen Voraussetzungen. Erforderliche Privilegien (PR:N): Keine Authentifizierung ist notwendig, da der IKEv2-Handshake vor der Authentifizierung stattfindet. Benutzerinteraktion (UI:N): Der Angriff erfolgt vollständig automatisiert. Die Out-of-bounds-Write-Schwachstelle befindet sich im IKEv2-Verarbeitungscode von WatchGuard Fireware OS. Bei der Verarbeitung speziell gestalteter IKEv2-Pakete werden Daten über die Grenzen eines Speicherpuffers hinaus geschrieben, was es dem Angreifer ermöglicht, den Programmfluss umzuleiten und beliebigen Code auszuführen. Die Schwachstelle betrifft sowohl Mobile User VPN als auch Branch Office VPN, wenn IKEv2 mit einem dynamischen Gateway-Peer konfiguriert ist. Betroffen sind Fireware OS-Versionen 11.10.2 bis einschließlich 11.12.4_Update1, 12.0 bis einschließlich 12.11.5 und 2025.1 bis vor 2025.1.4.
Häufig gestellte Fragen
Was ist CVE-2025-14733?
CVE-2025-14733 ist eine kritische Out-of-bounds-Write-Schwachstelle im IKEv2-VPN-Dienst von WatchGuard Fireware OS. Sie ermöglicht es nicht authentifizierten Angreifern, über das Netzwerk beliebigen Code auf der Firebox-Appliance auszuführen.
Welche WatchGuard-Produkte sind betroffen?
Alle WatchGuard Firebox-Appliances mit Fireware OS-Versionen von 11.10.2 bis 12.11.5, sowie 2025.1 bis vor 2025.1.4 sind betroffen, sofern IKEv2 für Mobile User VPN oder Branch Office VPN mit dynamischem Gateway konfiguriert ist.
Warum ist eine VPN-Schwachstelle besonders kritisch?
VPN-Dienste sind konstruktionsbedingt aus dem Internet erreichbar und stellen einen direkten Eintrittspunkt in das geschützte Netzwerk dar. Eine Kompromittierung der Firewall ermöglicht es Angreifern, den gesamten Netzwerkverkehr abzufangen und auf interne Systeme zuzugreifen.
Kann ich als Sofortmaßnahme IKEv2 deaktivieren?
Ja, als temporäre Maßnahme können Sie IKEv2-VPN deaktivieren und auf IKEv1 oder SSL-VPN umstellen. Dies sollte jedoch nur eine Zwischenlösung sein, bis das Fireware-OS-Update eingespielt wurde.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.