WatchGuard Fireboxに認証不要で任意コード実行の脆弱性(CVE-2025-14733)-サイバー攻撃へ悪用の恐れ|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2025年12月23日更新日時: 2025年12月23日

WatchGuardは2025年12月18日（更新：12月19日）、Firebox（Fireware OS）のIKEv2処理に関わる「iked」プロセスで、アウト・オブ・バウンズ書き込み（Out-of-bounds Write）の脆弱性が見つかったとしてアドバイザリ（WGSA-2025-00027）を公開しました。

CVEはCVE-2025-14733で、影響はCritical、CVSSは9.3とされています。アドバイザリによると、リモートの未認証攻撃者が任意コードを実行できる可能性があり、WatchGuardは実際に攻撃者がこの脆弱性の悪用を試みていることを確認したとしています。

1 影響を受けるバージョン（Affected）
2 修正版（Resolved Version）
3 影響を受ける条件
4 攻撃の兆候：IP・ログ・プロセス異常の3方向で確認

影響を受けるバージョン（Affected）

今回の脆弱性は、Fireware OS上でIKE（IKEv2）交渉を処理する「iked」プロセスに存在するアウト・オブ・バウンズ書き込みです。アドバイザリでは、細工された通信によりメモリ破壊が発生し、条件がそろうと任意コード実行（RCE）につながり得ると説明しています。

アドバイザリでは、以下の範囲が影響対象とされています。

Fireware OS 11.10.2 ～ 11.12.4_Update1
Fireware OS 12.0 ～ 12.11.5
Fireware OS 2025.1 ～ 2025.1.3

※11.xは「End of Life」と明記されています。

修正版（Resolved Version）

WatchGuardが提示している修正版は以下です。

2025.1 → 2025.1.4
12.x → 12.11.6
12.5.x（T15 / T35）→ 12.5.15
12.3.1（FIPS）→ 12.3.1_Update4（B728352）
11.x → End of Life（延命ではなく移行が前提）

回避策（Workaround）は「なし」とされており、基本方針は修正版へ更新です。

どうしても即時更新ができない場合の暫定策として、WatchGuardは「静的ピアのBOVPNしか使っていない」など条件が限られるケースでの一時対応手順（Secure Access to Branch Office VPNs that Use IPSec and IKEv2）に触れていますが、あくまで一時的な回避策です。

影響を受ける条件

攻撃にさらされる条件としてWatchGuardが挙げているのは、主に以下です。

Mobile User VPN（IKEv2）
Branch Office VPN（IKEv2）で、Dynamic Gateway Peer を使う構成

「過去にIKEv2の構成が存在した機器」も対象である事に注意が必要です。

アドバイザリは、以前に Mobile User VPN（IKEv2） や Dynamic Gateway Peer を使うBOVPN（IKEv2） を設定していて、その後に削除した場合でも、Static Gateway Peer のBOVPNが残っていると脆弱な状態が続く可能性がある、と注意しています。