WatchGuard ने दस महीनों में तीसरा महत्वपूर्ण IKEv2 पैच जारी किया, पुराने Firebox डिवाइस अभी भी असुरक्षित

WatchGuard ने दस महीनों में तीसरा महत्वपूर्ण IKEv2 पैच जारी किया, पुराने Firebox डिवाइस अभी भी असुरक्षित

WatchGuard Technologies ने एक और जरूरी सुरक्षा पैच जारी किया है, और सच कहें तो, यह एक बार-बार होने वाले बुरे सपने जैसा महसूस होने लगा है। हम उनके Firebox फायरवॉल उपकरणों को लक्षित करने वाली एक गंभीर प्री-ऑथेंटिकेशन रिमोट कोड निष्पादन (RCE) भेद्यता—CVE-2026-13368—को देख रहे हैं। यदि आप हिसाब रख रहे हैं, तो यह दस महीनों में तीसरी बार है जब उनके IKEv2 VPN डेमन में गंभीर खामी पाई गई है। यह उस प्लेटफॉर्म के लिए एक खराब छवि है जिसे आपके नेटवर्क के परिधि का रक्षक माना जाता है।

यह भेद्यता, जिसका CVSS 4.0 स्कोर 9.2 है, एक क्लासिक 'यूज़-आफ्टर-फ्री' (use-after-free) मेमोरी करप्शन त्रुटि है। सरल शब्दों में? यह IKEv2 के सक्रिय होने पर मोबाइल यूजर VPN की LDAP प्रमाणीकरण प्रक्रिया के दौरान उत्पन्न होने वाली एक रेस कंडीशन है। चूंकि इसे CWE-416 के अंतर्गत वर्गीकृत किया गया है, इसलिए एक अनधिकृत हमलावर सिस्टम में प्रवेश कर सकता है और पूर्ण सिस्टम विशेषाधिकारों के साथ आपके उपकरण पर कोई भी कोड चला सकता है। यह आपके सामने का दरवाजा खुला छोड़ने और चाबियाँ इग्निशन में छोड़ देने के समान है।

तकनीकी दायरा और प्रभावित संस्करण

इस खामी का प्रभाव इस बात पर निर्भर करता है कि आपका उपकरण Fireware OS के किस संस्करण पर चल रहा है। हालांकि WatchGuard ने अपने वर्तमान हार्डवेयर को पैच करने के लिए दौड़-धूप की है, लेकिन IKEv2 भेद्यताओं की यह आवृत्ति पुराने, लीगेसी उपकरणों की सुरक्षा स्थिति के बारे में कुछ असहज सवाल उठा रही है। सुरक्षा शोधकर्ता कुछ समय से इस प्रवृत्ति को ट्रैक कर रहे हैं, यह देखते हुए कि IKEv2 कार्यान्वयन शोषण के लिए एक पसंदीदा लक्ष्य बनता जा रहा है—एक बिंदु जिसे पहले CVE-2025-14733 द्वारा उजागर किया गया था।

यदि आप एक समर्थित संस्करण चला रहे हैं, तो आपको नवीनतम Fireware OS अपडेट तुरंत इंस्टॉल करना चाहिए। पूर्ण तकनीकी विवरण और तैनाती निर्देशों के लिए, आधिकारिक WatchGuard सुरक्षा सलाह देखें।

लीगेसी हार्डवेयर जोखिम: "भुला दिए गए" उपकरण

यहीं से नेटवर्क प्रशासकों के लिए असली सिरदर्द शुरू होता है: लीगेसी हार्डवेयर। विशेष रूप से, T15 और T35 Firebox मॉडल। ये उपकरण अभी भी 12.5.x शाखा पर चल रहे हैं, लेकिन अभी के लिए, CVE-2026-13368 के लिए कोई पैच नहीं है। यदि आपके रैक में इनमें से कोई एक है और आपका IKEv2 VPN सक्षम है, तो आप प्रभावी रूप से एक लक्ष्य पर बैठे हैं।

उन लोगों के लिए स्थिति और भी खराब है जो अभी भी Fireware OS 11.x से चिपके हुए हैं। ये उपकरण अपनी एंड-ऑफ-लाइफ (EOL) तिथि पार कर चुके हैं, जिसका उद्योग की भाषा में अर्थ है "आप अपने दम पर हैं।" अब कोई सुरक्षा अपडेट नहीं, कोई पैच नहीं, और कोई समर्थन नहीं। यदि आप यह फर्मवेयर चला रहे हैं, तो आप केवल रखरखाव में पीछे नहीं हैं; आप स्थायी जोखिम की स्थिति में काम कर रहे हैं।

शमन और जीवनचक्र प्रबंधन

यदि आपके पास आधुनिक हार्डवेयर है, तो आगे का रास्ता सरल है: अपना फर्मवेयर अपडेट करें। WatchGuard ने अपने आधिकारिक संसाधन पोर्टल पर फाइलें तैयार रखी हैं। उस रखरखाव विंडो की प्रतीक्षा न करें जो शायद कभी न आए—उस LDAP रेस कंडीशन को बेअसर करने के लिए इन पैच को तुरंत लागू करें।

तत्काल अग्निशमन से परे, आपको अपने व्यापक बुनियादी ढांचे के जीवनचक्र को देखने की आवश्यकता है। WatchGuard ने पहले ही संकेत दिया है कि Firebox M290 अपनी एंड-ऑफ-सेल (EOS) स्थिति तक 1 अगस्त, 2026 को पहुंच रहा है। इसे M295 के लिए चरणबद्ध तरीके से हटाया जा रहा है, और M290 आधिकारिक तौर पर 1 जुलाई, 2031 को बंद हो जाएगा।

आपके वर्तमान संचालन के लिए वास्तविकता की जांच यहां दी गई है:

• तत्काल कार्रवाई: यदि आप समर्थित हार्डवेयर पर हैं, तो इंटरनेट-फेसिंग प्रत्येक उपकरण पर तुरंत Fireware OS 2026.2.1 या 12.12.1 पुश करें।
• लीगेसी जोखिम: यदि आप 12.5.x शाखा पर T15 या T35 मॉडल के साथ फंसे हुए हैं, तो आपका सबसे अच्छा विकल्प IKEv2 VPN सेवाओं को पूरी तरह से अक्षम करना है जब तक कि कोई समाधान न आ जाए या आप हार्डवेयर को रिटायर न कर दें।
• एंड-ऑफ-लाइफ नीति: फर्मवेयर संस्करण 11.x एक मृत अंत है। यदि आप अभी भी इसका उपयोग कर रहे हैं, तो आप स्थायी रूप से असुरक्षित हैं। अब अपग्रेड करने का समय है।
• हार्डवेयर खरीद: M290 इकाइयों के मालिक अगस्त 2026 की EOS तिथि के बाद भी सेवाओं का नवीनीकरण कर सकते हैं, लेकिन आश्चर्यचकित न हों यदि इन इकाइयों को बदलने की रसद—क्षेत्रीय पावर कॉर्ड आवश्यकताओं सहित—आपकी खरीद प्रक्रिया में कुछ बाधा उत्पन्न करती है।

इन IKEv2 खामियों की आवर्ती प्रकृति एक स्पष्ट अनुस्मारक है कि नेटवर्क सुरक्षा में "सेट करें और भूल जाएं" एक खतरनाक दर्शन है। नियमित फर्मवेयर ऑडिट केवल एक सर्वोत्तम अभ्यास नहीं हैं; वे एक आवश्यकता हैं। जैसे-जैसे उद्योग अधिक लचीले प्रमाणीकरण ढांचे की ओर बढ़ रहा है, VPN डेमन में इन मेमोरी करप्शन बग्स की निरंतरता सभी के लिए एक बड़ा सिरदर्द बनी हुई है। WatchGuard PSIRT पोर्टल पर कड़ी नज़र रखें—आपको इसकी आवश्यकता होगी।