BSI warnt: Laufende Angriffe gefährden fast 7.000 deutsche Firewalls
Eine seit Wochen bekannte Sicherheitslücke in der Security-Appliance Firebox des Herstellers Watchguard entwickelt sich zu einer ernstzunehmenden Bedrohung für Unternehmen. Mittlerweile wird die Lücke aktiv ausgenutzt, wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) in einer Warnmeldung auf Mastodon(öffnet im neuen Fenster) betont. In Deutschland betrifft dies aktuell knapp 7.000 Firewalls.
Aktuelle Zahlen sind seit ein paar Tagen bei der Shadowserver Foundation zu finden. Bisher hat sich daran allerdings nicht viel geändert. In Deutschland ist die Anzahl anfälliger Firebox-Appliances innerhalb von zwei Tagen lediglich von 7.400 auf knapp 6.900 gefallen – ein Rückgang von rund sieben Prozent. Im globalen Ländervergleich(öffnet im neuen Fenster) reicht das weiterhin für Platz 2.
Nach Angaben des BSI wird das Cert-Bund betroffene Netzbetreiber ab heute aktiv benachrichtigen. Die Behörde rät Administratoren eindringlich, die schon seit Mitte September verfügbaren Sicherheitspatches schnellstmöglich einzuspielen und entsprechend der Herstellerempfehlung anschließend alle Passwörter und Schlüssel zu erneuern.
Admins sollten dringend handeln
Weitere Informationen zu den laufenden Attacken sind im aktualisierten Security Advisory von Watchguard(öffnet im neuen Fenster) zu finden. Dort bestätigt der Hersteller, dass es Hinweise auf eine aktive Ausnutzung der als CVE-2025-9242(öffnet im neuen Fenster) registrierten Lücke gibt. Passend dazu nennt das Unternehmen einige Indikatoren, anhand derer Admins erkennen können, ob ihre Systeme bereits attackiert wurden.
Die Ursache für CVE-2025-9242 ist ein möglicher Out-of-Bounds-Write ( CWE-787(öffnet im neuen Fenster) ). Damit ist es Angreifern möglich, aus der Ferne und ohne vorherige Authentifizierung eigenen Code zur Ausführung zu bringen. Nähere Details dazu gibt es in einem Blogbeitrag von Watchtowr Labs(öffnet im neuen Fenster) . Der Schweregrad der Sicherheitslücke ist kritisch (CVSS: 9,3).
Als anfällig gelten Fireware-OS-Versionen ab 11.10.2, 12.0 und 2025.1. Angreifbar sind die damit ausgestatteten Firewalls allerdings nur, wenn sie für VPN-Verbindungen mittels IKEv2 konfiguriert sind. Patches hat Watchguard mit Fireware OS 12.11.4, 12.5.13, 12.3.1_Update3 (B722811) und 2025.1.1 bereitgestellt. Für Version 11 des Betriebssystems gibt es keinen Support mehr, so dass dafür kein Patch zu erwarten ist.