WatchGuard Fireware OS: Schreiben außerhalb des zugewiesenen Speichers (Out-of-bounds Write) (CVE-2025-14733)

Was ist betroffen, was ist zu tun

Ein Pufferüberlauf in der WatchGuard Fireware OS ikeD-Prozess ermöglicht einem unauthentifizierten Angreifer die Remote-Code-Ausführung. Dieses Problem betrifft sowohl VPNs für mobile Benutzer mit IKEv2 als auch Standort-VPNs mit IKEv2, die mit einem dynamischen Gateway-Peer konfiguriert sind. Es wird aktiv in Ransomware-Kampagnen seit Dezember 2025 ausgenutzt. Betroffen sind Versionen von 11.10.2 bis 12.5.15 und von 11.10.2 bis 12.11.6 sowie Versionen 2025.1 bis 2025.1.4. Ein sofortiges Patchen auf die neueste Version ist dringend erforderlich.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Aktualisieren Sie WatchGuard Fireware OS auf Version 2025.1.4, WatchGuard Fireware OS auf Version 12.11.6, WatchGuard Fireware OS auf Version 12.3.1+728352. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• WatchGuard Fireware OS lt 2025.1..2025.1.4
• WatchGuard Fireware OS lt 12.0..12.11.6
• WatchGuard Fireware OS lte 11.10.2..11.12.4+541730
• WatchGuard Fireware OS lt 12.0..12.3.1+728352
• WatchGuard Fireware OS lt 12.0..12.5.15

Behoben in

• WatchGuard Fireware OS 2025.1.4
• WatchGuard Fireware OS 12.11.6
• WatchGuard Fireware OS 12.3.1+728352
• WatchGuard Fireware OS 12.5.15

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Patch einspielen: Fireware OS auf eine korrigierte Version aktualisieren: 2025.1.4 (Zweig 2025.1), 12.11.6 (Zweig 12.x), 12.5.15 (Zweig 12.5.x) bzw. 12.3.1+728352 (Zweig 12.3.1). Vor dem Update die Konfiguration sichern und den Neustart im Wartungsfenster einplanen. Bei extern erreichbaren VPN-Endpunkten die Umsetzung als Notfall-Change behandeln.
   • Fireware OS 11.10.2 bis 11.12.4+541730: Für diesen Zweig nennt der Kontext keine korrigierte Version. Betroffene Geräte gelten als nicht patchbar. IKEv2-Dienste sofort deaktivieren bzw. abschotten und den Hardware-/Software-Austausch einleiten.
   • Bestandsaufnahme der Angriffsfläche: Alle Firebox-Instanzen mit Mobile VPN with IKEv2 oder Branch Office VPN (BOVPN) über IKEv2 mit dynamischem Gateway-Peer identifizieren. Achtung: Geräte, auf denen diese Konfigurationen früher bestanden und inzwischen gelöscht wurden, bleiben verwundbar, solange noch ein BOVPN zu einem statischen Gateway-Peer konfiguriert ist. Diese Geräte ebenfalls als betroffen einstufen.
   • Kompromittierungsprüfung vor dem Patch: Konfigurationsexport und Logs (Traffic-, Event- und Diagnose-Logs) sichern, bevor das Update eingespielt wird. Ein Patch entfernt keine bereits etablierte Persistenz.
   • Geheimnisse rotieren: Bei einem Verdacht auf Ausnutzung oder einer längeren ungepatchten Exposition folgende Geheimnisse erneuern:
     • lokale Administrator-Kennwörter,
     • VPN-Pre-Shared-Keys,
     • Zertifikate und private Schlüssel des Geräts,
     • hinterlegte LDAP-/RADIUS-Dienstkonten.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Konfigurationsänderung (Interim): Ist der Patch nicht sofort möglich, Mobile VPN with IKEv2 und BOVPN-Tunnel mit dynamischen Peers deaktivieren. Verbleibende statische BOVPN-Tunnel über die eingebauten IPSec-/IKE-Policies auf die bekannten öffentlichen IP-Adressen der Gegenstellen beschränken. Alle übrigen Quellen dürfen UDP 500/4500 nicht erreichen.
   • Netzsegmentierung / vorgelagerte Filterung: Falls ein Upstream-Router oder ISP-ACL verfügbar ist, UDP/500 (IKE) und UDP/4500 (NAT-T) zur Firebox-WAN-Adresse per Allowlist auf Partner-IPs einschränken. Für Remote-Access-Nutzer vorübergehend auf einen alternativen, nicht betroffenen VPN-Zugang (z. B. SSL-VPN) ausweichen, sofern dieser separat gehärtet ist.
   • IPS-Regel (vorgelagert): Suricata/Snort-Signaturidee für IKEv2-IKE_AUTH-Pakete mit ungewöhnlich großen CERT-Payloads oder übermäßig langen Zertifikatsketten von nicht gelisteten Quellen. Regelform: alert udp !$VPN_PEERS any -> $FIREBOX_WAN [500,4500] (msg:"Possible CVE-2025-14733 IKEv2 oversize payload"; dsize:>1500; ...). Den Schwellwert am eigenen Baseline-Traffic kalibrieren.
   • Management-Härtung: Die Web-UI (Port 8080) und den WSM-Zugriff ausschließlich aus einem dedizierten Management-VLAN zulassen. Keine Administration über die WAN-Schnittstelle.
   • IAM / minimale Rechte: An die Firebox gebundene Verzeichnisdienstkonten auf reine Lese- bzw. Authentifizierungsrechte reduzieren. Für VPN-Nutzer MFA erzwingen, um die Folgenutzung abgegriffener Zugangsdaten zu erschweren.
   • Lifecycle-Management: Geräte mit Fireware 11.x in das Risikoregister aufnehmen und mit einem Austauschtermin versehen. Ein dauerhafter Betrieb ist nur mit vollständig deaktiviertem IKEv2 vertretbar.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Firebox-Syslog (an das SIEM weitergeleitet): Wiederholte Abstürze oder Neustarts des Prozesses iked, unerwartete IKE-Abbrüche sowie IKE_AUTH-Fehler von unbekannten Quell-IPs. SPL-Form: index=firewall sourcetype=watchguard (iked AND (crash OR restart OR "core")) | stats count by src_ip, host.

   • Netzwerktelemetrie (Zeek/Suricata):

     • IKE-Verbindungen auf UDP 500/4500 von Quellen außerhalb der Partner-Allowlist,
     • IKEv2-Pakete mit ungewöhnlich großen Payloads,
     • viele fragmentierte IKE-Nachrichten in kurzer Folge.

     Zeek-Ansatz: conn.log mit Filter id.resp_p in {500,4500}, gruppiert nach id.orig_h, und Abgleich gegen die Peer-Liste.

   • Ausgehender Verkehr der Firebox selbst: Neue Verbindungen, die von der Firebox-Adresse ausgehen (Shell-Callbacks, Downloads, ungewöhnliche DNS-Abfragen), sind ein starkes Indiz für Codeausführung. Hierfür NetFlow bzw. Traffic-Logs der vorgelagerten Infrastruktur heranziehen.

   • Konfigurations- und Kontoänderungen: Neue Administratorkonten, geänderte Policies, neu angelegte VPN-Nutzer oder hinzugefügte NAT-/Weiterleitungsregeln außerhalb genehmigter Changes. Abgleich der Firebox-Audit-Logs mit dem Change-Ticket-System.

   • Folgeaktivität im internen Netz:

     • VPN-Sitzungen aus untypischen Geolokationen,
     • anschließende SMB-/RDP-Lateralbewegung,
     • Anmeldungen privilegierter Konten (Windows Event ID 4624, Logon Type 3/10, sowie 4672) ausgehend vom VPN-Adresspool.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Ein Schreibzugriff außerhalb des gültigen Bereichs in WatchGuard Fireware OS könnte es einem entfernten, nicht authentifizierten Angreifer ermöglichen, beliebigen Code auszuführen. Diese Schwachstelle betrifft sowohl das Mobile User VPN mit IKEv2 als auch das Branch Office VPN unter Verwendung von IKEv2 bei Konfiguration mit einem dynamischen Gateway-Peer. Diese Schwachstelle betrifft Fireware OS 11.10.2 bis einschließlich 11.12.4_Update1, 12.0 bis einschließlich 12.11.5 und 2025.1 bis einschließlich 2025.1.3.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: CSA/SingCERT, NCSC NZ (CC BY 4.0), pwn.watch, cvelistv5, NVD (NIST), CISA KEV Catalog, CVE.org (MITRE)

Hersteller und Produkte

• WatchGuard WatchGuard Fireware
• WatchGuard Fireware OS

Weakness-Klassen (CWE)

• CWE-787Out-of-bounds Write

  Base

  The product writes data past the end, or before the beginning, of the intended buffer.

  Eintrag bei MITRE CWE-787

Quellen & Referenzen

• watchguard.comWatchGuard advisory: WatchGuard FireboxHerstellerhinweis, pwn-watch
• psirt.watchguard.comCVE-2025-14733Herstellerhinweis
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2025-14733government-resource
• pwn.watchpwn.watch: WatchGuard Firebox: Firebox Out of Bounds Write Vulnerabilitypwn-watch
• NVD (NIST)NVD: CVE-2025-14733pwn-watch
• cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 09.09.2026Eintrag geändertWatchGuard

   Neue Referenzen:

   • https://psirt.watchguard.com/CVE-2025-14733
   • https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00027
   6 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	https://psirt.watchguard.com/CVE-2025-14733
   Referenz	ergänzt	—	https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00027
   Referenz	entfernt	https://psirt.watchguard.com/CVE-2025-14733	—
   Referenz	entfernt	https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00027	—
   Referenztyp	entfernt	https://psirt.watchguard.com/CVE-2025-14733 Types: Broken Link	—
   Referenztyp	entfernt	https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00027 Types: Vendor Advisory	—

   Kennung der Quelle: 5d1c2695-1a31-4499-88ae-e847036fd7e3

2. 09.09.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: ja

   Neue Referenzen:

   • https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-14733
   4 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-14733
   Referenz	entfernt	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-14733	—
   Referenztyp	entfernt	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-14733 Types: US Government Resource	—
   SSVC-Einschätzung	geändert	{"id":"CVE-2025-14733","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2025-12-20T04:56:16.893498Z"}	{"id":"CVE-2025-14733","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2025-12-19T00:00:00+00:00"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

3. 11.08.2026Analyse der NVD geändertNVD

   Produktzuordnung geändert:

   • WatchGuard Fireware (2025.1 – vor 2025.1.4)

   Neue Referenzen:

   • https://psirt.watchguard.com/CVE-2025-14733
   2 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Produktkonfiguration	geändert	AND OR *cpe:2.3:o:watchguard:fireware:*:*:*:*:*:*:*:* versions from (including) 2025.1 up to (excluding) 2025.1.4 OR cpe:2.3:h:watchguard:firebox_t115-w:*:*:*:*:*:*:*:* cpe:2.3:h:watchguard:firebox_t125:*:*:*:*:*:*:*:* cpe:2.3:h:watchguard:firebox_t125-w:*:*:*:*:*:*:*:* cpe:2.3:h:watchguard:firebox_t145:*:*:*:*:*:*:*:* cpe:2.3:h:watchguard:firebox_t145-w:*:*:*:*:*:*:*:* cpe:2.3:h:watchguard:firebox_t185:*:*:*:*:*:*:*:*	AND OR *cpe:2.3:o:watchguard:fireware:*:*:*:*:*:*:*:* versions from (including) 2025.1 up to (excluding) 2025.1.4 OR cpe:2.3:h:watchguard:firebox_t115-w:*:*:*:*:*:*:*:* cpe:2.3:h:watchguard:firebox_t125:*:*:*:*:*:*:*:* cpe:2.3:h:watchguard:firebox_t125-w:*:*:*:*:*:*:*:* cpe:2.3:h:watchguard:firebox_t145:*:*:*:*:*:*:*:* cpe:2.3:h:watchguard:firebox_t145-w:*:*:*:*:*:*:*:* cpe:2.3:h:watchguard:firebox_t185:*:*:*:*:*:*:*:* cpe:2.3:h:watchguard:firebox_m295:-:*:*:*:*:*:*:* cpe:2.3:h:watchguard:firebox_m395:-:*:*:*:*:*:*:* cpe:2.3:h:watchguard:firebox_m495:-:*:*:*:*:*:*:* cpe:2.3:h:watchguard:firebox_m595:-:*:*:*:*:*:*:* cpe:2.3:h:watchguard:firebox_m695:-:*:*:*:*:*:*:*
   Referenztyp	ergänzt	—	WatchGuard Technologies, Inc.: https://psirt.watchguard.com/CVE-2025-14733 Types: Broken Link

   Kennung der Quelle: nvd@nist.gov

4. 10.08.2026Eintrag geändertWatchGuard

   Beschreibung erfasst oder geändert

   Neue Referenzen:

   • https://psirt.watchguard.com/CVE-2025-14733
   3 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Betroffene Versionen (Herausgeber)	geändert	Fireware OS	Fireware OS, Fireware OS, Fireware OS
   Beschreibung	geändert	An Out-of-bounds Write vulnerability in WatchGuard Fireware OS may allow a remote unauthenticated attacker to execute arbitrary code. This vulnerability affects both the Mobile User VPN with IKEv2 and the Branch Office VPN using IKEv2 when configured with a dynamic gateway peer.This vulnerability affects Fireware OS 11.10.2 up to and including 11.12.4_Update1, 12.0 up to and including 12.11.5 and 2025.1 up to and including 2025.1.3.	An Out-of-bounds Write vulnerability in the WatchGuard Fireware OS iked process may allow a remote unauthenticated attacker to execute arbitrary code. This vulnerability affects both the mobile user VPN with IKEv2 and the branch office VPN using IKEv2 when configured with a dynamic gateway peer. If the Firebox was previously configured with the mobile user VPN with IKEv2 or a branch office VPN using IKEv2 to a dynamic gateway peer, and both of those configurations have since been deleted, that Firebox may still be vulnerable if a branch office VPN to a static gateway peer is still configured.
   Referenz	ergänzt	—	https://psirt.watchguard.com/CVE-2025-14733

   Kennung der Quelle: 5d1c2695-1a31-4499-88ae-e847036fd7e3