SecBoard
Zurück zur CVE-Übersicht

CVE-2025-14733

CRITICAL(9.8)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score62/100 — HOCH
  • CVSS 9.8 — Kritisch
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

26.5%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

CVE-2025-14733 ist eine Out-of-bounds Write Schwachstelle im iked-Prozess des WatchGuard Fireware OS. Sie ermöglicht einem entfernten, nicht authentifizierten Angreifer die Ausführung von beliebigem Code. Betroffen sind Firebox-Geräte, die für Mobile User VPN mit IKEv2 oder Branch Office VPN mit IKEv2 und dynamischem Gateway-Peer konfiguriert sind, oder waren und nun ein Branch Office VPN zu einem statischen Gateway-Peer nutzen.

Die Schwachstelle wird als kritisch eingestuft ( 9.8) und wird aktiv ausgenutzt, wie die Aufnahme in den KEV-Katalog bestätigt. Die Exploit-Wahrscheinlichkeit liegt bei 27% (). Die aktive Ausnutzung unterstreicht die Dringlichkeit der Bedrohung.

Security-Teams sollten umgehend alle WatchGuard Fireware OS Installationen überprüfen und die vom Hersteller bereitgestellten Patches oder Mitigationen anwenden. Eine schnelle Reaktion ist aufgrund der aktiven Ausnutzung und der hohen Kritikalität unerlässlich, um das Risiko einer Kompromittierung zu minimieren.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

An Out-of-bounds Write vulnerability in the WatchGuard Fireware OS iked process may allow a remote unauthenticated attacker to execute arbitrary code. This vulnerability affects both the mobile user VPN with IKEv2 and the branch office VPN using IKEv2 when configured with a dynamic gateway peer. If the Firebox was previously configured with the mobile user VPN with IKEv2 or a branch office VPN using IKEv2 to a dynamic gateway peer, and both of those configurations have since been deleted, that Firebox may still be vulnerable if a branch office VPN to a static gateway peer is still configured.

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV).

Threat-Hunting-Queries

Die Schwachstelle ermöglicht die Ausführung von beliebigem Code durch einen nicht authentifizierten Angreifer. Die Erkennung sollte sich auf ungewöhnliche Prozessaktivitäten, insbesondere des 'iked'-Prozesses, und Netzwerkverbindungen von oder zu WatchGuard Firebox-Geräten konzentrieren, die auf eine Kompromittierung hindeuten könnten. Da keine spezifischen IOCs (IPs/Domains/Hashes) genannt werden

Sentinel/Defender KQL

DeviceProcessEvents
| where InitiatingProcessFileName =~ "iked" or FileName =~ "iked"
| where ProcessCommandLine contains "-c" or ProcessCommandLine contains "-e" or ProcessCommandLine contains "--exec" // Beispiel für ungewöhnliche Befehlszeilenargumente
| where InitiatingProcessParentFileName != "system" // Beispiel: iked startet ungewöhnliche Child-Prozesse
| project TimeGenerated, DeviceName, InitiatingProcessFileName, FileName, ProcessCommandLine, InitiatingProcessParentFileName, InitiatingProcessParentCommandLine
| join kind=leftouter (
    DeviceNetworkEvents
    | where InitiatingProcessFileName =~ "iked"
    | summarize make_set(RemoteIP) by DeviceName, InitiatingProcessFileName
) on DeviceName, InitiatingProcessFileName
| extend RemoteIPs = set_RemoteIP
| where isnotempty(RemoteIPs)

Splunk SPL

index=* (process_name=iked OR parent_process_name=iked) (command_line="* -c *" OR command_line="* -e *" OR command_line="* --exec *") OR (process_name=iked OR parent_process_name=iked) NOT (parent_process_name=system) | table _time, host, process_name, command_line, parent_process_name, parent_command_line | join type=left (_time host process_name [search index=* process_name=iked | stats values(dest_ip) as remote_ips by host, process_name]) | where isnotnull(remote_ips)

Sigma

title: WatchGuard Firebox iked Out-of-Bounds Write Exploitation Attempt
id: 00000000-0000-0000-0000-000000000001
status: experimental
description: Detects potential exploitation attempts against WatchGuard Firebox iked process due to CVE-2025-14733, indicated by unusual process activity or network connections.
author: SecBoard
date: 2025/12/19
references:
  - https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00027
  - https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-14733
logsource:
  category: process_creation
  product: linux
tags:
  - attack.execution
  - cve.2025.14733
  - cisa_kev
  - watchguard
detection:
  selection_process:
    Image|endswith: 'iked'
    CommandLine|contains:
      - ' -c '
      - ' -e '
      - ' --exec '
  selection_parent_process:
    ParentImage|endswith: 'iked'
    CommandLine|contains:
      - ' -c '
      - ' -e '
      - ' --exec '
  condition: selection_process or selection_parent_process

Elastic ES|QL

from process where process.name == "iked" and (process.args contains "-c" or process.args contains "-e" or process.args contains "--exec") or process.parent.name == "iked" and (process.args contains "-c" or process.args contains "-e" or process.args contains "--exec") | join kind=left outer (from network where process.name == "iked" | summarize remote_ips = collect_set(destination.ip) by host.name, process.name) on host.name, process.name | where remote_ips != null

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:o:watchguard:fireware:*:*:*:*:*:*:*:*
  • cpe:2.3:o:watchguard:fireware:*:*:*:*:*:*:*:*
  • cpe:2.3:o:watchguard:fireware:*:*:*:*:*:*:*:*

Referenzen