Exploit em VPN permite invasão sem autenticação

há 2 dias 10

A WatchGuard revelou uma vulnerabilidade crítica de buffer overflow (CVE-2025-9242) em seu sistema Fireware OS, que permite execução de código remoto sem autenticação via conexões VPN IKEv2. Com CVSS 9.3, o problema afeta versões de 11.10.2 a 11.12.4_Update1, 12.0 a 12.11.3 e 2025.1, expondo milhares de Firebox appliances usados por empresas pequenas e médias a riscos de comprometimento total do sistema.

O ataque ocorre por meio de pacotes IKE_SA_INIT e IKE_SA_AUTH manipulados, que exploram falha de verificação de limites na função ike2_ProcessPayload_CERT, resultando em escrita fora dos limites do buffer de pilha. Mesmo configurações VPN excluídas podem manter vulnerabilidades residuais caso peers estáticos permaneçam ativos, permitindo acesso pré-autenticação pela porta UDP 500.

Pesquisadores demonstraram o ataque montando payloads para executar shell reverso Python com privilégios root, podendo manipular o sistema de arquivos ou instalar ferramentas adicionais. Dispositivos Firebox costumam ser o limite da rede corporativa, tornando o risco ainda mais severo com possibilidade de escalada lateral, exfiltração de dados e backdoors persistentes.

A correção está disponível nas versões 2025.1.1, 12.11.4, 12.5.13 (para T15/T35) e 12.3.1_Update3 (FIPS). É recomendada a aplicação imediata dos patches; como mitigação temporária, deve-se restringir VPN IPSec/IKEv2 e desabilitar IKEv2 onde possível. Não há relatos de exploração ativa, mas a divulgação pública torna a correção urgente.

Ler artigo completo