Quatre CVE a AuthPoint i cap no toca el segon factor

El 4 de novembre a les 14:44 UTC, WatchGuard va publicar quatre fitxes de vulnerabilitat per al mateix producte: AuthPoint Authentication Gateway, des de la versió 1.0 i fins a qualsevol anterior a la 7.6.0. Puntuacions CVSS v4 de 9,2, 9,1, 9,1 i 8,9. Si llegeixes les quatre descripcions una darrere l'altra, hi ha una paraula que no apareix en cap: el factor.

Tres de les quatre parlen del tram de xarxa entre el gateway i els teus servidors d'autenticació locals, o entre els components del mateix gateway. La quarta parla de la màquina on viu. El que comparteixen totes quatre és una suposició: on està instal·lat aquest gateway i qui s'hi pot posar enmig.

Les quatre, una a una

Totes quatre es corregeixen a la 7.6.0, que és la primera versió no afectada. Totes quatre estan acreditades a «WatchGuard AI Security Research», és a dir, les va trobar el fabricant a les seves pròpies proves. Cap no consta com a explotada. I no totes apliquen a tots els desplegaments, perquè la mateixa fitxa ho acota: la 121637 només afecta instal·lacions amb proveïdor LDAP; la 121638, les que tenen un recurs RADIUS, LDAP o ADFS; la 121639, les de LDAP o Active Directory; la 121640 no porta aquesta nota.

El vector, mètrica a mètrica

Quatre puntuacions entre 8,9 i 9,2 semblen un incendi. El vector explica una altra cosa, i convé llegir-lo abans de decidir a quina hora es toca el gateway. En tres de les quatre hi apareix AT:P: en CVSS v4 això és Attack Requirements: Present, és a dir que l'atac necessita condicions que no depenen de l'atacant. Aquí aquesta condició és sempre la mateixa: ser-hi enmig. On-path entre el gateway i el controlador de domini, o haver vist passar una petició legítima, o haver aconseguit una signatura de capçalera vàlida.

L'excepció és la 121639, i és l'única que porta AT:N —sense condicions prèvies— amb vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:H/SC:N/SI:N/SA:H. Aquesta és la que pot tombar el servei d'autenticació sense més requisit que arribar a l'amfitrió per xarxa. També és l'única de les quatre en què l'impacte en integritat es queda en baix (VI:L): el seu dany és de disponibilitat.

Hi ha un altre detall al vector que canvia la lectura: en tres de les quatre, VC:N. Confidencialitat, res. L'excepció és la 121638, la de l'atacant on-path, que sí que pot llegir el que hi passa. Les altres tres no estan pensades per llegir-te res: estan pensades per decidir per tu. A la 121637 i a la 121640 el que puja a alt és la integritat, i a més la integritat del sistema subsegüent (SI:H): el dany no es queda al gateway, se l'emporta al que hi ha al darrere.

Falsificar el veredicte, no el factor

De les quatre, la que mereix pensar-se a poc a poc és la 121637, i no per la seva puntuació —és la més baixa— sinó pel que descriu. La redacció original diu que l'atacant «forge the authentication result and transaction identifier in the request body». Falsificar el resultat: no el codi que tecleja l'usuari, sinó la resposta que el gateway retorna dient si aquest intent va valer o no.

Un segon factor funciona com una cadena de custòdia: algú pregunta, algú comprova, algú respon. El que s'audita i es compra gairebé sempre és la comprovació —quin mètode, quin algorisme, si és push o TOTP o passkey— i el que es dona per bo és el transport de la resposta. En aquestes quatre fitxes el transport és justament el que està trencat. Ja vam escriure sobre una variant d'això quan la mitigació que oferia un fabricant era treure't el segon factor: allà la via ràpida per tancar una fallada passava per desactivar el factor; aquí el factor continua posat i qui pot contestar en nom seu és el tram de xarxa.

La peça que s'instal·la un cop

Un gateway d'autenticació és el pont entre un servei d'MFA que viu fora i els directoris que viuen dins: LDAP, Active Directory, RADIUS, ADFS. Del tipus de peça que és ja en vam escriure a compte d'el switch de fibra que no és de ningú, així que aquí ho deixem en una línia: s'instal·la durant el desplegament, funciona, i ningú no hi torna a mirar.

I no és un procés, en són quatre. La mateixa documentació de WatchGuard descriu el gateway com quatre serveis —Gateway, RADIUS, LDAP i ADFS— escoltant als ports TCP 9000, 9001, 9002 i 9003. Això explica la redacció de la 121640, que parla de reproduir una petició legítima «between AuthPoint Gateway components»: hi ha conversa interna entre aquelles peces, i aquesta conversa també viatja.

El rang de versions afectades ho diu sense adorns: 1.0 fins a 7.6.0. Tota la vida del producte. Qui hagi muntat el gateway fa cinc anys i no l'hagi tocat és al rang per definició. I aquí és on això deixa de ser una notícia d'un fabricant i passa a ser una pregunta d'inventari: saps en quina màquina corre el teu, quina versió té i amb què parla?

Quan no cal alarmar-se (i per què cal actualitzar igualment)

Això és el bon cas. Les va trobar el fabricant, les va documentar amb descripcions precises, els va assignar CVE propis, va publicar la correcció i ho va deixar tot en una sola versió. Cap no està explotada. I tres de les quatre necessiten algú col·locat a dins, entre el teu gateway i els teus controladors de domini. Si algú ja hi és, AuthPoint no és el teu problema més urgent.

Dit això: «algú dins de la xarxa interna» és precisament l'atacant que existeix. És el portàtil compromès d'un comercial, el proveïdor amb un túnel permanent, la impressora que ningú no va segmentar, el servidor d'una aplicació vella a la mateixa VLAN que els controladors de domini. Tractar aquest tram com a segur perquè és intern és la suposició que un enfocament Zero Trust ve a treure, i aquestes quatre fitxes són un exemple net del que costa mantenir-la. Ho vam veure des de l'altre costat en explicar que el túnel entre seus no demana el segon factor a ningú, i apunta en la mateixa direcció que el teu proveïdor d'identitat no és una aplicació més.

Hi ha un camp més que gairebé ningú no mira i que aquí val més que les quatre puntuacions juntes. Al bloc que hi afegeix CISA, la mètrica Automatable —si el reconeixement i l'explotació es poden automatitzar contra molts objectius— apareix com a yes només a la 121639, i com a no a les altres tres. És la mateixa que no demanava condicions prèvies. Aquesta parella, AT:N i Automatable: yes, ordena la tarda: aquesta és la que algú pot anar a buscar a escala, i les altres tres són per a qui ja ha triat la teva empresa.

Què faríem aquesta setmana

Els punts tres i quatre són els que de debò canvien el risc i són els únics que no es resolen actualitzant. Són feina de segmentació de xarxa i de Zero Trust, i es fan un cop i serveixen per al pròxim avís, que vindrà d'un altre fabricant i descriurà un altre camí entre dues peces teves.

WatchGuard ha fet la seva part: va buscar, va trobar, va documentar i va publicar la 7.6.0. La part que queda d'aquest costat és més avorrida i no la tanca cap pedaç: saber quantes peces com aquesta fa anys que tens en un tram que dones per bo, i quina d'elles està contestant ara mateix en nom d'una altra.

Fonts. Consultades el 5 de novembre del 2026. Les quatre fitxes —descripcions literals, puntuacions i vectors CVSS v4, identificadors CWE, rang de versions afectades (1.0 fins a 7.6.0), data de publicació (4 de novembre del 2026, 14:44 UTC) i crèdit a «WatchGuard AI Security Research»— són dels registres CVE oficials, assignats per WatchGuard com a CNA i consultats via l'API de CVE Program: CVE-2026-121637 (8,9 · CWE-345 · CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:H/SA:N), CVE-2026-121638 (9,1 · CWE-295), CVE-2026-121639 (9,2 · CWE-252, CWE-287 i CWE-306) i CVE-2026-121640 (9,1 · CWE-294). La mètrica Automatable (yes a la 121639, no a les altres tres) és del bloc que hi afegeix CISA. L'abast per desplegament (LDAP, RADIUS, ADFS, Active Directory) és del camp configurations de cada registre. L'avís AV26-1125 del Centre Canadenc de Ciberseguretat, del 4 de novembre del 2026, recull el mateix conjunt i situa el producte afectat en «anteriors a 7.6.0». El significat d'AT:P i AT:N («Attack Requirements») i el de les mètriques de sistema subsegüent SI i SA són de l'especificació CVSS v4.0 de FIRST. Que cap de les quatre consti com a explotada és, a 5 de novembre, el que reflecteixen els propis registres i l'absència d'aquestes CVE al catàleg KEV de CISA; no és cap garantia sobre el futur. La descripció de què és l'AuthPoint Gateway (l'aplicació que s'instal·la a la teva xarxa perquè AuthPoint parli amb els teus clients RADIUS, amb l'agent d'ADFS i amb el teu Active Directory o LDAP), el seu desglossament en quatre serveis —Gateway, RADIUS, LDAP i ADFS— i els ports TCP 9000 a 9003 són de la documentació «About Gateways» de WatchGuard. Els exemples de qui comparteix segment són nostres, de la nostra feina de xarxes i seguretat gestionada, i no estan avalats per aquestes fonts. La fotografia de la imatge social és «Krone LSA-PLUS Patch Panel», de Dennis van Zuijlekom, CC BY-SA 2.0 via Wikimedia Commons; està retallada per treure el marc negre de l'original.