CISA подтвердила: критическая уязвимость WatchGuard Firebox используется в атаках программ-вымогателей

В декабре 2024 года Агентство по кибербезопасности и инфраструктурной безопасности США (CISA) включило критическую уязвимость в межсетевых экранах WatchGuard Firebox в каталог известных эксплуатируемых уязвимостей (KEV). Теперь ведомство официально подтвердило, что данная уязвимость RCE используется группировками программ-вымогателей — не только для получения первоначального доступа к корпоративным сетям, но и в рамках полноценных ransomware-атак. Это меняет оценку риска: если ранее угроза рассматривалась как вектор проникновения, то теперь речь идёт о прямой связи с шифрованием данных и требованием выкупа.

Подробности

Уязвимость затрагивает межсетевые экраны WatchGuard Firebox, работающие под управлением устаревших версий операционной системы Fireware OS. Уязвимость класса RCE (Remote Code Execution) позволяет злоумышленнику удалённо выполнить произвольный код на устройстве. Устройства WatchGuard Firebox часто располагаются на периметре сети и выполняют функции VPN-шлюза, что делает их привлекательной целью: компрометация такого узла даёт атакующим доступ к внутренней инфраструктуре организации. CISA присвоила уязвимости статус активно эксплуатируемой ещё в декабре, однако тогда речь шла преимущественно о попытках несанкционированного доступа. Новое подтверждение указывает на то, что уязвимость стала частью арсенала операторов программ-вымогателей. Точные идентификаторы CVE и перечень конкретных версий Fireware OS, подверженных уязвимости, в исходном сообщении не приводятся, однако CISA настоятельно рекомендует организациям проверить актуальность прошивок на своих устройствах. Стоит отметить, что межсетевые экраны и VPN-устройства остаются одной из самых востребованных целей для хакерских группировок. Компрометация периметра позволяет обходить традиционные средства защиты внутри сети и развивать атаку по модели «тихого» lateral movement. Именно поэтому уязвимости в подобных продуктах попадают в каталог KEV и требуют приоритетного устранения.

Что делать

CISA и производитель рекомендуют организациям, использующим WatchGuard Firebox, незамедлительно выполнить следующие действия: - Проверить версию Fireware OS на всех устройствах Firebox и убедиться, что установлены актуальные обновления безопасности. - При наличии уязвимых версий — немедленно обновить прошивку до последней доступной версии, выпущенной WatchGuard. - Если обновление невозможно в кратчайшие сроки, рассмотреть временное отключение уязвимых сервисов или ограничение доступа к устройству из интернета. - Включить MFA для всех административных учётных записей и VPN-подключений, где это поддерживается. - Провести аудит журналов устройства на предмет подозрительной активности: необычные подключения, создание новых учётных записей, изменения конфигурации. - Оценить необходимость ротации учётных данных и ключей, если есть признаки компрометации. - Убедиться, что в инфраструктуре действует принцип наименьших привилегий, а сегментация сети ограничивает возможный ущерб от компрометации периметра. Организациям также рекомендуется свериться с официальными рекомендациями CISA и WatchGuard, чтобы получить актуальный список затронутых версий и патчей. Итог: уязвимость WatchGuard Firebox перешла из категории «потенциальная угроза» в категорию реально эксплуатируемых векторов ransomware-атак, поэтому обновление прошивок и аудит конфигурации периметра должны стать приоритетом для ИБ-команд. Промедление с патчингом периметровых устройств напрямую повышает риск того, что злоумышленники получат доступ к внутренней сети и развернут программу-вымогатель.

Источник: BleepingComputer