Kerngegevens
- Leverancier
- WatchGuard
- Soort software
- firewall
- Getroffen versies
- WatchGuard AuthPoint Gateway 1.0 tot en met 7.5.x (ouder dan 7.6.0)
- Oplossing
- Update beschikbaar
- Opgeloste versie
- WatchGuard AuthPoint Gateway 7.6.0 WatchGuard-advies CVE-2026-121637 (opent in een nieuw venster)
- CVE gepubliceerd
- 4 november 2026
- Gepubliceerd op LekkenRadar
- 4 november 2026
- Laatst gewijzigd bij NVD
- 4 november 2026
Simpel uitgelegd
Wat is er aan de hand?
In de LDAP-authenticatie van WatchGuard AuthPoint Gateway 7.5.x en ouder zit een fout in de controle op de echtheid van gegevens; WatchGuard loste die op in versie 7.6.0. De gateway controleert wel een handtekening in de header van een bericht, maar niet of de inhoud van het bericht nog klopt. Een aanvaller met een geldige headerhandtekening kan daardoor het inlogresultaat en het transactienummer in het bericht vervalsen. Het gevolg is dat een inlogpoging een uitkomst kan krijgen die niet klopt.
Wie loopt risico?
Je loopt risico als je AuthPoint Authentication Gateway gebruikt met LDAP-authenticatie, in een versie vanaf 1.0 tot 7.6.0. De aanvaller moet via het netwerk bij de gateway kunnen komen en eerst een geldige headerhandtekening hebben bemachtigd. In de gegevens staat geen melding van actief misbruik en er is geen publieke exploit bekend.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| WatchGuard AuthPoint GatewayInstaller via AuthPoint > Downloads in WatchGuard Cloud; de gateway werkt zichzelf niet bij | 7.6.0 | WatchGuard-advies CVE-2026-121637 (opent in een nieuw venster) | Download (inloggen bij WatchGuard) (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Controleer je versie
Kijk in AuthPoint op de pagina Gateway welke versie je gateways draaien. Versies ouder dan 7.6.0 zijn getroffen. De gateway werkt zichzelf niet automatisch bij.
Werk bij naar 7.6.0
Download de installer via AuthPoint > Downloads in WatchGuard Cloud (opent in een nieuw venster) (inloggen nodig) en voer hem uit op de server van de gateway. Volg de instructies van WatchGuard (opent in een nieuw venster). Werk ook secundaire gateways bij.
Bescherm het LDAP-verkeer
Het lek zit in de afhandeling van LDAP-aanmeldingen. Zorg dat het verkeer tussen de gateway en je directoryserver over een vertrouwd, afgeschermd netwerk loopt zolang je nog niet hebt bijgewerkt.
Lees het advies
Meer details staan in het advies van WatchGuard (CVE-2026-121637) (opent in een nieuw venster).
Dezelfde update lost meer lekken op
Versie 7.6.0 verhelpt ook CVE-2026-121638, CVE-2026-121639 en CVE-2026-121640. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De LDAP-authenticatiecallback van WatchGuard AuthPoint Gateway valideert de integriteit van het verzoek onvoldoende. De handtekening in de header wordt geaccepteerd, maar de inhoud van de request body valt daar niet onder. Een netwerkaanvaller die een geldige headerhandtekening heeft verkregen, kan daarom het authenticatieresultaat en de transactie-identifier in de body aanpassen. Dat leidt tot ongeautoriseerde sessie-uitkomsten. Het lek is geclassificeerd als CWE-345 en heeft een CVSS 4.0-score van 8,9 (hoog), met vooral gevolgen voor de integriteit.
CVSS-vector (versie 4.0, basisscore 8,9, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-345 · Onvoldoende verificatie van de authenticiteit van gegevens
- Aanvalsroute
- Via het netwerk of internet
- Aanvalscode openbaar
- Nee