CVE-2026-13368
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 60 - wyżej niż 60% wszystkich znanych CVE
Streszczenie
W systemie WatchGuard Fireware OS występuje wyścig prowadzący do podatności use-after-free w uwierzytelnianiu LDAP dla mobilnej sieci VPN z IKEv2. Zdalny nieuwierzytelniony atakujący może wykorzystać tę podatność do wykonania dowolnego kodu w kontekście procesu iked na urządzeniach Firebox z skonfigurowaną mobilną VPN IKEv2 używającą zewnętrznego serwera LDAP.
Ocena ryzyka
Ryzyko zdalnego wykonania kodu w procesie iked, co może prowadzić do przejęcia kontroli nad urządzeniem Firebox i naruszenia bezpieczeństwa sieci.
Rekomendacja
Zainstaluj najnowsze poprawki bezpieczeństwa od WatchGuard dla Fireware OS. Jeśli to możliwe, rozważ zmianę metody uwierzytelniania lub ograniczenie dostępu do usług VPN.
Inne podatności w WatchGuard Fireware OS
Zobacz wszystkie- CVE-2026-19318Krytyczne
W procesie iked systemu WatchGuard Fireware OS występuje przepełnienie bufora na stosie, które pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu poprzez wysłanie specjalnie spreparowanego ruchu sieciowego.
- CVE-2026-19315Krytyczne
W procesie iked systemu WatchGuard Fireware OS występuje podatność typu pomylenie typów (type confusion), która pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu poprzez wysłanie specjalnie spreparowanego ruchu sieciowego.
- CVE-2026-19313Krytyczne
W procesie iked systemu WatchGuard Fireware OS występuje przepełnienie sterty, które pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu poprzez wysłanie specjalnie spreparowanego ruchu sieciowego.
- CVE-2026-13086Krytyczne
W usłudze epm (Endpoint Protection Manager) używanego przez przestarzałą funkcję Mobile Security w systemie WatchGuard Fireware OS występuje przepełnienie bufora na stosie, które pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu.
- CVE-2025-14733KrytyczneAktywnie exploitowane
Podatność typu zapis poza zakresem w procesie iked systemu WatchGuard Fireware OS może pozwolić zdalnemu nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu. Dotyczy to zarówno mobilnej sieci VPN z IKEv2, jak i oddziałowej sieci VPN z IKEv2 skonfigurowanej z dynamicznym bramą. Nawet po usunięciu tych konfiguracji, jeśli nadal istnieje konfiguracja oddziałowej sieci VPN do statycznej bramy, urządzenie może pozostać podatne.
- CVE-2025-9242KrytyczneAktywnie exploitowane
Podatność zapisu poza zakresem w procesie iked w systemie WatchGuard Fireware OS. Zdalny, nieuwierzytelniony atakujący może wykonać dowolny kod. Dotyczy VPN dla użytkowników mobilnych z IKEv2 oraz VPN oddziałowy z IKEv2 skonfigurowany z dynamicznym peerem bramy. Jeśli konfiguracje zostały usunięte, ale nadal istnieje VPN oddziałowy do statycznego peera, urządzenie może być nadal podatne.
- CVE-2026-78011Wysokie
Podatność na niedomiar liczby całkowitej w procesie iked systemu WatchGuard Fireware OS umożliwia zdalnemu nieuwierzytelnionemu atakującemu wywołanie stanu Denial of Service (DoS) w przetwarzaniu VPN poprzez wysyłanie specjalnie spreparowanego ruchu sieciowego.
- CVE-2026-78010Wysokie
Podatność na przepełnienie bufora na stosie w procesie iked systemu WatchGuard Fireware OS umożliwia zdalnemu nieuwierzytelnionemu atakującemu wywołanie stanu Denial of Service (DoS) w przetwarzaniu VPN poprzez wysyłanie specjalnie spreparowanego ruchu sieciowego.
- CVE-2026-78009Wysokie
Podatność odczytu poza zakresem w procesie iked systemu WatchGuard Fireware OS umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wywołanie stanu Denial of Service (DoS) w przetwarzaniu VPN poprzez wysyłanie specjalnie spreparowanego ruchu sieciowego.
- CVE-2026-78008Wysokie
Podatność przepełnienia bufora w interfejsie zarządzania WatchGuard Fireware OS pozwala uwierzytelnionemu administratorowi z dostępem sieciowym na wywołanie stanu DoS lub potencjalne wykonanie dowolnego kodu poprzez wysyłanie specjalnie spreparowanego ruchu sieciowego.
Oryginalny opis (angielski, źródło NVD)
WatchGuard Fireware OS contains a race condition leading to a use-after-free vulnerability in LDAP authentication for the Mobile User VPN with IKEv2. A remote unauthenticated attacker could exploit this vulnerability to execute arbitrary code in the context of the iked process on Fireboxes that have a Mobile VPN with IKEv2 configured to use an external LDAP authentication server.