CVE-2025-9242
WatchGuard Firebox Out-of-Bounds Write Vulnerability
Beschreibung
CVE-2025-9242 ist eine kritische Out-of-bounds-Write-Schwachstelle in WatchGuard Fireware OS, dem Betriebssystem der WatchGuard Firebox-Firewalls. Die Schwachstelle betrifft den IKEv2-VPN-Dienst und ermoeglicht es einem unauthentifizierten Angreifer, ueber das Netzwerk beliebigen Code auf der Firewall auszufuehren. Mit einem CVSS v3.1-Score von 9.8 (CRITICAL) erreicht diese Schwachstelle den hoechstmoeglichen Schweregrad und stellt eine unmittelbare Bedrohung fuer alle betroffenen Installationen dar.
Die CISA hat CVE-2025-9242 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 3. Dezember 2025. Der EPSS-Score von 61.61 % (98.3. Perzentil) ist extrem hoch und bestaetigt die massive Ausnutzung in freier Wildbahn. Ein oeffentlicher Exploit von watchTowr Labs ist verfuegbar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| watchguard | fireware | >= 11.10.2, < 12.11.4; >= 11.10.2, < 12.5.13; 2025.1 |
Referenzen
- https://psirt.watchguard.com/CVE-2025-9242(Broken Link)
- https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00015(Vendor Advisory)
- https://github.com/watchtowrlabs/watchTowr-vs-WatchGuard-CVE-2025-9242/blob/main/watchTowr-vs-WatchGuard-CVE-2025-9242.py(Exploit)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-9242(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-bounds Write
CVE-2025-9242 basiert auf CWE-787 (Out-of-bounds Write), einer der gefaehrlichsten Speicher-Schwachstellenklassen. Bei einem Out-of-bounds Write schreibt ein Programm Daten ausserhalb der vorgesehenen Speichergrenzen eines Puffers, was zur Beschaedigung benachbarter Speicherbereiche fuehrt.
Im Fall von WatchGuard Fireware OS tritt der fehlerhafte Schreibzugriff im IKEv2-VPN-Subsystem auf. IKEv2 (Internet Key Exchange Version 2) ist ein komplexes Protokoll fuer den Aufbau von VPN-Tunneln, das zahlreiche Datenstrukturen verarbeitet. Ein manipuliertes IKEv2-Paket kann den Pufferueberlauf ausloesen und es dem Angreifer ermoeglichen, Kontrolldaten im Speicher zu ueberschreiben, was letztlich zur Ausfuehrung von beliebigem Code fuehrt. Mehr erfahren
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-9242 sind aufgrund der Rolle einer Firewall als Sicherheitsperimeter besonders gravierend. Vertraulichkeit: Ein Angreifer mit Code-Ausfuehrung auf der Firewall kann den gesamten Netzwerkverkehr mitlesen, VPN-Schluessel extrahieren und auf interne Netzwerkressourcen zugreifen. Die Firewall verarbeitet typischerweise den gesamten ein- und ausgehenden Datenverkehr einer Organisation, was den Zugriff auf sensible Kommunikationsdaten ermoeglicht.
Integritaet: Mit der Kontrolle ueber die Firewall kann der Angreifer Firewall-Regeln aendern, Zugaenge fuer weitere Angriffe oeffnen, den Netzwerkverkehr manipulieren und Man-in-the-Middle-Angriffe auf verschluesselte Verbindungen durchfuehren. Die Manipulation von VPN-Konfigurationen ermoeglicht das Abfangen von als sicher geltenden Verbindungen.
Verfuegbarkeit: Der Angreifer kann die Firewall zum Absturz bringen, Dienste stoppen oder die Firewall so manipulieren, dass sie den Netzwerkverkehr blockiert. In Unternehmensumgebungen fuehrt ein Firewall-Ausfall zu einem vollstaendigen Unterbruch der Netzwerkkonnektivitaet.
Der EPSS-Score von 61.61 % ist extrem hoch und zeigt, dass diese Schwachstelle aktiv in grossem Umfang ausgenutzt wird. Der Ransomware-Status ist als Unknown klassifiziert, doch die Uebernahme einer Firewall ermoeglicht den vollstaendigen Zugang zum internen Netzwerk -- ein idealer Ausgangspunkt fuer Ransomware-Angriffe.
Exploit-Reifegrad
CVE-2025-9242 weist eine extrem hohe Exploit-Reife auf. Die CISA hat die Schwachstelle im KEV-Katalog als aktiv ausgenutzt gefuehrt, mit einer Behebungsfrist bis zum 3. Dezember 2025. Der EPSS-Score von 61.61 % (98.3. Perzentil) ist einer der hoechsten beobachteten Werte und zeigt, dass diese Schwachstelle zu den am intensivsten ausgenutzten weltweit gehoert.
watchTowr Labs hat einen oeffentlichen Exploit auf GitHub veroeffentlicht, der die Schwachstelle zuverlaessig ausnutzt. Die Verfuegbarkeit eines oeffentlichen Proof-of-Concept senkt die Einstiegshuerde fuer Angreifer erheblich und erklaert den extrem hohen EPSS-Score.
Die Schwachstelle ist besonders attraktiv fuer Angreifer, da sie ohne jegliche Authentifizierung (PR:N) ueber das Netzwerk (AV:N) mit niedriger Komplexitaet (AC:L) ausnutzbar ist. VPN-Dienste sind per Definition aus dem Internet erreichbar, was die Angriffsflaeche maximiert. Der Ransomware-Status ist als Unknown klassifiziert.
Behebung
-
Sofortiges Fireware-Update installieren: WatchGuard hat gepatchte Versionen bereitgestellt. Aktualisieren Sie auf Fireware 12.11.4 oder hoeher (fuer den 12.x-Zweig) bzw. 12.5.13 (fuer den 12.5.x-Zweig). Pruefen Sie das WatchGuard Security Advisory WGSA-2025-00015 fuer die genauen Versionsanforderungen. Version 2025.1 ist ebenfalls betroffen und muss aktualisiert werden.
-
IKEv2-VPN temporaer deaktivieren: Falls ein sofortiges Update nicht moeglich ist, deaktivieren Sie voruebergehend den Mobile User VPN mit IKEv2 und den Branch Office VPN mit IKEv2 bei dynamischen Gateway-Peers. Verwenden Sie als Workaround alternative VPN-Protokolle wie SSL-VPN oder IKEv1, sofern verfuegbar.
-
Firewall auf Kompromittierung pruefen: Untersuchen Sie die Firewall-Logs auf ungewoehnliche IKEv2-Verbindungsversuche und verdaechtige Aktivitaeten. Pruefen Sie, ob Firewall-Regeln veraendert wurden, ob unbekannte VPN-Konfigurationen existieren und ob verdaechtige Prozesse auf der Firebox laufen.
-
Netzwerkverkehr analysieren: Ueberpruefen Sie den Netzwerkverkehr auf Anzeichen eines Datenabflusses oder ungewoehnlicher Verbindungen von der Firewall zu externen Systemen. Implementieren Sie IDS/IPS-Regeln, die verdaechtige IKEv2-Pakete erkennen.
-
Incident-Response-Plan aktivieren: Aufgrund der extrem hohen Exploit-Reife und des oeffentlich verfuegbaren Exploits sollten Organisationen mit ungepatchten Firebox-Systemen ihren Incident-Response-Plan aktivieren und eine forensische Untersuchung der Firewall in Betracht ziehen.
Technische Details
CVE-2025-9242 betrifft WatchGuard Fireware OS in den Versionen 11.10.2 bis einschliesslich 12.11.3, 12.0 bis 12.11.3 sowie Version 2025.1. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt den hoechstmoeglichen Schweregrad fuer eine Netzwerk-Schwachstelle ohne Scope-Aenderung: netzwerkbasiert (AV:N), niedrige Komplexitaet (AC:L), keine Authentifizierung (PR:N), keine Benutzerinteraktion (UI:N) und maximaler Impact auf alle drei Schutzziele.
Die Schwachstelle liegt im IKEv2-VPN-Subsystem der Fireware und betrifft sowohl den Mobile User VPN mit IKEv2 als auch den Branch Office VPN mit IKEv2 bei Konfiguration mit einem dynamischen Gateway-Peer. Bei der Verarbeitung von IKEv2-Paketen wird eine unzureichende Laengenpruefung durchgefuehrt, die zu einem Schreibzugriff ausserhalb der vorgesehenen Puffergrenzen fuehrt.
Ein Angreifer kann speziell praeparierte IKEv2-Pakete an den VPN-Port der Firebox senden, um den Out-of-bounds Write auszuloesen. Durch kontrolliertes Ueberschreiben von Speicherbereichen jenseits des Puffers kann der Angreifer die Programmausfuehrung umleiten und beliebigen Code im Kontext des Fireware-Prozesses ausfuehren. Da VPN-Dienste typischerweise mit erhoehten Privilegien laufen, ergibt sich eine vollstaendige Kompromittierung der Firewall.
Die Schwachstelle ist besonders kritisch, weil IKEv2-VPN-Endpunkte per Definition aus dem Internet erreichbar sein muessen, um ihre Funktion zu erfuellen. Die Angriffsflaeche umfasst daher jede WatchGuard Firebox mit aktiviertem IKEv2-VPN.
Häufig gestellte Fragen
Welche WatchGuard-Produkte sind von CVE-2025-9242 betroffen?
Betroffen sind alle WatchGuard Firebox-Modelle mit Fireware OS in den Versionen 11.10.2 bis einschliesslich 12.11.3 sowie Version 2025.1, bei denen Mobile User VPN mit IKEv2 oder Branch Office VPN mit IKEv2 (mit dynamischem Gateway-Peer) konfiguriert ist.
Ist meine Firebox betroffen, wenn ich kein IKEv2-VPN nutze?
Wenn auf Ihrer Firebox weder Mobile User VPN mit IKEv2 noch Branch Office VPN mit IKEv2 (dynamischer Gateway-Peer) konfiguriert ist, ist die Schwachstelle nicht direkt ausnutzbar. Dennoch sollten Sie das Fireware-Update installieren, da zukuenftige Konfigurationsaenderungen die Schwachstelle aktivieren koennten.
Gibt es oeffentlich verfuegbare Exploits fuer CVE-2025-9242?
Ja, watchTowr Labs hat einen funktionsfaehigen Exploit auf GitHub veroeffentlicht. Dies bedeutet, dass die Schwachstelle von jedem Angreifer mit grundlegenden technischen Kenntnissen ausgenutzt werden kann. Der extrem hohe EPSS-Score von 61.61 % bestaetigt die aktive, weitverbreitete Ausnutzung.
Welche Massnahmen sollte ich sofort ergreifen?
Aktualisieren Sie umgehend auf Fireware 12.11.4 oder hoeher. Falls ein sofortiges Update nicht moeglich ist, deaktivieren Sie IKEv2-VPN voruebergehend und nutzen Sie alternative VPN-Protokolle. Pruefen Sie Ihre Firewall-Logs auf verdaechtige IKEv2-Aktivitaeten und untersuchen Sie die Firebox auf Anzeichen einer Kompromittierung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.