Fireware v12.11.3 – Verbesserungen und Sicherheitsupdates im Überblick

Mit der Veröffentlichung von Fireware v12.11.3 bringt WatchGuard zahlreiche sicherheitsrelevante Korrekturen sowie funktionale Verbesserungen für Firebox-Nutzer. In diesem Beitrag geben wir einen strukturierten Überblick über die wichtigsten Änderungen, aufgeteilt in relevante Themenbereiche.

Sicherheitslücken – Geschlossen in Fireware v12.11.3

Die neue Version schließt mehrere kritische und mittlere Sicherheitslücken. Besonders hervorzuheben:

• CVE-2025-1910: Eine lokale Privilegieneskalation im Mobile VPN mit SSL Client wurde beseitigt.

• CVE-2025-26465: Fireware nutzt nun OpenSSH v9.9p2, wodurch eine mittlere Schwachstelle im SSH-Stack behoben wurde.

• CVE-2025-4106: Entfernt wurde übrig gebliebener Debug-Code, der ein potenzielles Angriffsziel darstellte.

• CVE-2025-6946 & CVE-2025-6947: Zwei Stored XSS-Lücken in der IPS- und SIP-Proxy-Konfiguration wurden behoben.

• CVE-2025-1547: Ein authentifizierter Stack Overflow in der Zertifikatsanforderung wurde geschlossen.

• CVE-2025-6999: Eine Schwachstelle in Bezug auf HTTP Request Smuggling im Authentifizierungsportal wurde eliminiert.

 Die vollständigen Sicherheitshinweise finden Sie auf psirt.watchguard.com.

Allgemeine Verbesserungen

• RAM-Nutzung reduziert: Firewalld verbraucht beim Import von Blocklisteneinträgen nun weniger Speicher.

• TPM-Datenübermittlung: TPM-Schlüssel werden nach jedem Reboot übermittelt (für Feedbackzwecke).

• Cluster-Stabilität erhöht: Gleichzeitige Reboots von T-Series FireCluster-Mitgliedern führen nicht mehr zu Inaktivität.

• Blockierte IPs verwaltbar: Eine IP-Adresse kann aus der Blockausnahmeliste gelöscht werden, auch wenn sie parallel auf der Blockliste steht.

• Neue Standardausnahmen: Die Adresse wg.cloud.threatseeker.com wurde zu den Content Inspection und Blocklisten-Ausnahmen hinzugefügt.

• CSP-Sicherheit: Unsichere unsafe-eval– und unsafe-inline-Header wurden von mehreren Firebox-Portalseiten entfernt.

• VLAN-DHCP-Bug behoben: Die DHCP-Konfiguration bleibt bei doppelten Reservierungen erhalten.

• Schwache Cipher abschaltbar: CLI-Befehl web-server-cipher block weak-ciphers deaktiviert jetzt CBC-Cipher.

• Cloud-Statusbericht bereinigt: XML-Formatierung von Routen und DNS-Einträgen wurde korrigiert.

• SNMP-Fehler eliminiert: Passwörter mit Sonderzeichen am Anfang verursachen keine Crashes mehr.

• Login-Cache reguliert: Fehlgeschlagene Anmeldungen werden nun nach Ablauf korrekt entfernt.

Authentifizierung und SAML

• SAML & Gruppenattribute: Die Standard-Gruppenzuweisung funktioniert jetzt wie erwartet.

• Session-Handling optimiert: Abmeldung nach langer Sitzung (>1h) verursacht keinen Fehler mehr.

• Erweiterte Namenslängen: Server- und Benutzernamen für SAML im SSL-VPN dürfen nun bis zu 128 Zeichen lang sein.

• FireCluster + AuthPoint: Die Integration funktioniert jetzt auch bei Active/Active-Setups.

• RADIUS-Stabilität: Ein Fehler, der admd zum Absturz brachte, wurde behoben.

Management Server & SSL Management

• Backup-SSL-IP konfigurierbar: Firebox-Geräte erlauben nun die Angabe einer Backup-IP für den SSL-Management-Tunnel.

Mobile VPN mit SSL

• Der Client verbindet sich nicht mehr automatisch mit der letzten Verbindung, wenn ungültige Zugangsdaten eingegeben werden.

Netzwerk- & DNS-Verbesserungen

• GUI-Geschwindigkeit: Das Laden und Speichern von DNS-/WINS-Konfigurationen ist nun schneller.

• DHCPv6 erweitert: Unterstützt nun Option 25 und Option 3.

• Microsoft365 NAT: Alias-Regeln für Microsoft365 funktionieren jetzt zuverlässig.

• VLAN-Konfiguration sicher: Hinzufügen neuer VLANs entfernt keine bestehenden mehr.

• Externe Schnittstellen umbennen: Multi-WAN übernimmt Änderungen jetzt korrekt.

• Langsame Verbindungen optimiert: io-timeout-Wert für Network Access Enforcement wurde angepasst.

• SD-WAN Stabilität: Langlaufende UDP-Sitzungen brechen bei Interface-Ausfall korrekt um.

Proxies, Policies & Dienste

• Policy Manager Anzeige: Zeigt nun bei HTTP-Proxys den maximalen Default-Wert bei leeren Feldern.

• 0.x.x.x Aliase: IP-Adressen im 0er-Bereich werden korrekt verarbeitet.

• Botnet-Signaturen: In der Datei proxy-botnet_META.txt wird jetzt der korrekte Anbieter angezeigt.

Fireware v12.11.3 ist ein wichtiger Stabilitäts- und Sicherheitsrelease, der sowohl Unternehmen als auch Partnern ein höheres Maß an Kontrolle, Performance und Schutz bietet. Die Behebung kritischer Schwachstellen und die Verbesserung zahlreicher Features zeigen WatchGuards Engagement für kontinuierliche Verbesserung und Netzwerksicherheit.

Für Administratoren und IT-Sicherheitsverantwortliche empfiehlt es sich dringend, dieses Update zeitnah einzuplanen und umzusetzen.

Sie haben Fragen zur Umsetzung oder möchten Fireware in Ihrem Unternehmen aktualisieren?
Unser zertifiziertes WatchGuard-Team berät Sie gerne! Schreiben Sie uns oder rufen Sie direkt an – 0800 20000 23.