CVE-2022-26318

Falha de execução remota de código sem autenticação em Fireware OS, o sistema operacional dos appliances WatchGuard Firebox e XTM. Um heap-based buffer overflow (CWE-122) permite que um atacante na rede, sem credenciais, comprometa o dispositivo — que normalmente fica na borda da rede corporativa como firewall/gateway VPN. Está na KEV da CISA desde março de 2022 com exploração confirmada, tem PoC pública e módulo Metasploit, o que eleva o risco prático muito além do que uma descrição seca sugere.

A falha (identificador interno WatchGuard FBX-22786) é um heap buffer overflow classificado como CWE-122 pela CISA. Ela reside no processamento de autenticação dos appliances Firebox/XTM rodando Fireware OS — o vetor descrito publicamente aponta para o serviço IKE (daemon iked) responsável pelo Mobile User VPN with IKEv2, que aceita pacotes de negociação de fase 1 antes de qualquer autenticação do usuário ser concluída.

O atacante controla o conteúdo de um payload IKE malformado (na análise técnica pública, relacionado a um campo de identificação/certificado enviado durante a negociação) que, ao ser copiado para um buffer de heap sem validação adequada de tamanho, corrompe estruturas adjacentes na memória. Como o processo roda com privilégios elevados no appliance, a corrupção controlada de heap pode ser escalada para execução arbitrária de código no sistema subjacente do dispositivo.

O ponto crítico é que o processamento ocorre antes da autenticação — daí 'unauthenticated user' na descrição oficial e PR:N no vetor CVSS. Não é necessário login no appliance nem em qualquer VPN já estabelecida; basta alcançar o serviço vulnerável na rede.

A WatchGuard não publicou detalhamento técnico profundo do bug em suas release notes públicas (a página de notas de lançamento do Fireware 12.7.2 não expõe o texto do resolved issue em formato indexável); o entendimento técnico mais preciso vem de pesquisa independente que reproduziu a falha e construiu exploit funcional, posteriormente incorporado a ferramentas de teste de intrusão.

Pré-requisito real, e o mais importante para avaliar exposição: o serviço vulnerável é o VPN IKE (Mobile User VPN with IKEv2), que escuta em UDP 500 (e tipicamente 4500 para NAT-T). Isso só é explorável se essa funcionalidade estiver habilitada no appliance e a porta estiver acessível para o atacante — o que é comum em Firebox/XTM usados como gateway de VPN de borda expostos à internet, mas não é universal em todo deployment.

Com a porta alcançável, o atacante envia pacotes IKE especialmente formados sem qualquer autenticação prévia. A exploração é pré-auth e não exige interação do usuário (UI:N) nem condições de rede não padrão além de alcançar a porta IKE — por isso o CVSS 9.8 é justificado quando essa condição existe. A complexidade de exploração foi demonstrada como baixa o suficiente para justificar um módulo Metasploit público e PoC de crash/RCE, reduzindo a barreira técnica para qualquer atacante com conhecimento básico de exploração de heap overflow.

A presença no catálogo KEV da CISA, com prazo de correção de 15/04/2022, confirma exploração ativa em ambiente real — não é apenas risco teórico. O resultado final da exploração bem-sucedida é execução de código com privilégios do processo iked no appliance, o que na prática equivale a comprometimento total do dispositivo perimetral: interceptação de tráfego, pivotagem para a rede interna e possível persistência no firewall que deveria proteger a rede.

A correção definitiva é atualizar o Fireware OS para a versão do branch correspondente que resolve a falha: 12.7.2_U2 ou superior no branch 12.7.x, 12.1.3_U8 ou superior no branch 12.1.x, e 12.5.9_U2 ou superior para o intervalo 12.2.x–12.5.x. Não existe patch parcial ou hotfix documentado fora dessas versões nas notas de lançamento revisadas.

Se a atualização imediata não for possível, o paliativo real é desabilitar o Mobile User VPN with IKEv2 no appliance ou restringir o acesso à porta UDP 500/4500 apenas a IPs de origem confiáveis via regra de firewall upstream — isso remove a superfície de ataque, mas custa a funcionalidade de VPN IKEv2 para usuários móveis legítimos até a atualização ser aplicada. Não há mitigação por WAF, já que o vetor é um protocolo de VPN em UDP, não HTTP.

Trocar apenas a senha de administração do appliance ou desabilitar o portal de gerenciamento web não mitiga nada aqui — a falha está no processamento pré-autenticação do IKE, não no painel administrativo. Verificar exposição pública das portas de VPN é o primeiro passo prático antes de assumir que o ambiente está ou não em risco.

Não há assinatura de detecção confiável publicada pela WatchGuard nas fontes revisadas. Como o vetor envolve o serviço IKE (UDP 500/4500) do appliance, sinais possíveis incluem crashes ou reinicializações inesperadas do processo iked nos logs do dispositivo, tentativas de negociação IKE malformadas ou anômalas capturadas em ferramentas de monitoramento de rede voltadas ao gateway, e tráfego IKE com payloads de tamanho ou estrutura fora do padrão vindos de origens não associadas a VPNs legítimas configuradas. A existência de módulo Metasploit e PoC pública significa que qualquer scanner de vulnerabilidade ou tentativa automatizada de exploração pode gerar esse tráfego, mas sem uma assinatura oficial do fornecedor ou de IDS confirmada nas fontes consultadas, a ausência de evidência não deve ser interpretada como ausência de exploração — o registro na KEV da CISA já confirma exploração ativa em campo.