CVE-2025-13940
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Podatność naruszenia oczekiwanego zachowania w WatchGuard Fireware OS może pozwolić atakującemu na obejście kontroli integralności systemu podczas uruchamiania i zapobiec wyłączeniu Fireboxa w przypadku niepowodzenia kontroli. Kontrola na żądanie w Web UI poprawnie pokaże komunikat o niepowodzeniu.
Ocena ryzyka
Obejście kontroli integralności może pozwolić na uruchomienie systemu ze zmodyfikowanymi komponentami, co może prowadzić do naruszenia bezpieczeństwa i trwałej obecności złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację Fireware OS do wersji, która naprawia tę podatność, oraz monitorowanie komunikatów o niepowodzeniu kontroli integralności.
Inne podatności w WatchGuard Fireware OS
Zobacz wszystkie- CVE-2026-86131Krytyczne
Luka wstrzyknięcia kodu w obsłudze konfiguracji klienta BOVPN Over TLS w WatchGuard Fireware OS pozwala atakującemu kontrolującemu zdalny serwer VPN na wykonanie dowolnych poleceń z uprawnieniami root na łączącym się Fireboxie.
- CVE-2026-19318Krytyczne
W procesie iked systemu WatchGuard Fireware OS występuje przepełnienie bufora na stosie, które pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu poprzez wysłanie specjalnie spreparowanego ruchu sieciowego.
- CVE-2026-19315Krytyczne
W procesie iked systemu WatchGuard Fireware OS występuje podatność typu pomylenie typów (type confusion), która pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu poprzez wysłanie specjalnie spreparowanego ruchu sieciowego.
- CVE-2026-19313Krytyczne
W procesie iked systemu WatchGuard Fireware OS występuje przepełnienie sterty, które pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu poprzez wysłanie specjalnie spreparowanego ruchu sieciowego.
- CVE-2026-13086Krytyczne
W usłudze epm (Endpoint Protection Manager) używanego przez przestarzałą funkcję Mobile Security w systemie WatchGuard Fireware OS występuje przepełnienie bufora na stosie, które pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu.
- CVE-2025-14733KrytyczneAktywnie exploitowane
Podatność typu zapis poza zakresem w procesie iked systemu WatchGuard Fireware OS może pozwolić zdalnemu nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu. Dotyczy to zarówno mobilnej sieci VPN z IKEv2, jak i oddziałowej sieci VPN z IKEv2 skonfigurowanej z dynamicznym bramą. Nawet po usunięciu tych konfiguracji, jeśli nadal istnieje konfiguracja oddziałowej sieci VPN do statycznej bramy, urządzenie może pozostać podatne.
- CVE-2025-9242KrytyczneAktywnie exploitowane
Podatność zapisu poza zakresem w procesie iked w systemie WatchGuard Fireware OS. Zdalny, nieuwierzytelniony atakujący może wykonać dowolny kod. Dotyczy VPN dla użytkowników mobilnych z IKEv2 oraz VPN oddziałowy z IKEv2 skonfigurowany z dynamicznym peerem bramy. Jeśli konfiguracje zostały usunięte, ale nadal istnieje VPN oddziałowy do statycznego peera, urządzenie może być nadal podatne.
- CVE-2022-26318KrytyczneAktywnie exploitowane
Na urządzeniach WatchGuard Firebox i XTM nieuwierzytelniony użytkownik może wykonać dowolny kod (znany jako FBX-22786). Podatność dotyczy Fireware OS przed 12.7.2_U2, 12.x przed 12.1.3_U8 oraz 12.2.x do 12.5.x przed 12.5.9_U2.
- CVE-2026-86134Wysokie
Luka dereferencji wskaźnika NULL w procesie uwierzytelniania WatchGuard Fireware OS pozwala zdalnemu, nieuwierzytelnionemu atakującemu na zawieszenie demona zarządzającego poprzez wysłanie specjalnie spreparowanego żądania do interfejsu logowania, co powoduje odmowę usługi.
- CVE-2026-86133Wysokie
Podatność typu integer underflow w demonie IKE (iked) systemu WatchGuard Fireware OS pozwala zdalnemu atakującemu, który zakończył wstępny handshake IKEv2, na zawieszenie procesu iked poprzez wysłanie specjalnie spreparowanej zaszyfrowanej wiadomości IKEv2, co prowadzi do odmowy usługi.
Oryginalny opis (angielski, źródło NVD)
An Expected Behavior Violation [CWE-440] vulnerability in WatchGuard Fireware OS may allow an attacker to bypass the Fireware OS boot time system integrity check and prevent the Firebox from shutting down in the event of a system integrity check failure. The on-demand system integrity check in the Fireware Web UI will correctly show a failed system integrity check message in the event of a failure.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS