Lỗ hổng nghiêm trọng trên tường lửa WatchGuard Firebox: Nguy cơ kiểm soát toàn bộ hệ thống mạng

• 22/09/2025

Một lỗ hổng bảo mật nghiêm trọng (CVE-2025-9242) vừa được phát hiện trên dòng tường lửa WatchGuard Firebox – thiết bị đang được nhiều doanh nghiệp và tổ chức sử dụng để bảo vệ hạ tầng mạng.
Với điểm CVSS 9.3 (nguy cấp), lỗ hổng này cho phép tin tặc từ xa tấn công mà không cần xác thực, qua đó chiếm toàn quyền điều khiển thiết bị.

Nguyên nhân & phạm vi ảnh hưởng

• Vấn đề xuất phát từ tiến trình iked của hệ điều hành Fireware OS, liên quan đến giao thức IKE (Internet Key Exchange) dùng trong thiết lập VPN.

• Lỗi được xác định là out-of-bounds write, khiến thiết bị xử lý sai dữ liệu khi nhận gói tin độc hại.

• Tin tặc có thể:

  • Chiếm toàn bộ quyền điều khiển tường lửa.

  • Đánh cắp/chặn dữ liệu truyền qua VPN.

  • Vô hiệu hóa các lớp bảo mật khác.

Các phiên bản bị ảnh hưởng: Fireware OS từ 11.10.2 đến 11.12.4_Update1, bản 12.0 đến 12.11.3, và 2025.1 mới nhất.

Mức độ nguy hiểm

• Không cần xác thực: Bất kỳ ai trên Internet cũng có thể khai thác.

• Tác động toàn diện: Ảnh hưởng đến tính bí mật, toàn vẹn và khả năng sẵn sàng của hệ thống.

• Phổ biến rộng rãi: Firebox là dòng tường lửa phổ biến toàn cầu.

Điều này đặt hàng nghìn doanh nghiệp và tổ chức trước nguy cơ gián đoạn hoạt động hoặc rò rỉ dữ liệu.

Giải pháp khuyến nghị

WatchGuard đã phát hành bản vá cho các phiên bản Fireware OS:

• 2025.1.1, 12.11.4, 12.5.13 (T15 & T35), và 12.3.1_Update3 (FIPS).

Doanh nghiệp cần khẩn trương:

• Cập nhật hệ điều hành Fireware OS theo khuyến nghị.

• Kiểm tra và rà soát toàn bộ cấu hình VPN (IKEv2, VPN peer tĩnh).

• Triển khai biện pháp tạm thời theo hướng dẫn bảo mật của WatchGuard nếu chưa thể vá ngay.

• Tăng cường giám sát lưu lượng mạng, phát hiện sớm các hành vi bất thường.

Kết luận

Lỗ hổng CVE-2025-9242 là minh chứng rõ ràng rằng ngay cả những thiết bị được xem là “lá chắn” cũng có thể trở thành điểm yếu chí tử.
👉 Doanh nghiệp không được trì hoãn việc cập nhật và giám sát hệ thống bảo mật.

(Theo WhiteHat)