Probleme mit Zertifikaten und HTTPS Deep Inspection nach Firmware Update

Mit dem letzten Firmware Update Release v2026.4 / v12.12.4 / v12.5.22 vom 28. Oktober wurden von WatchGuard mehrere sicherheitsrelevante Schwachstellen geschlossen! Nach dem Firmware Update haben wir von vereinzelten Kunden Support-Anfragen erhalten, mit der Meldung, dass die HTTPS Content Inspection / Deep Inspection nicht mehr funktioniert!

Der Fehler deutete auf ein mögliches Problem mit Zertifikaten hin. Dies bestätigte uns WatchGuard jetzt in einem Case.

Im neuen Firmware Release 2026.4 wurden die zugrundeliegenden Krypto-Bibliotheken aktualisiert. Das betrifft typischerweise die HTTPS Deep Inspection, wenn als Proxy Authority noch ein älteres Zertifikat mit z.B. 1024 Bit Schlüssellänge verwendet wird.

Dies kann auch die Kommunikation zu einem internen Server betreffen bei dem das Proxy Server Zertifikat zum Einsatz kommt.

Anzeige im Traffic Monitor der Firewall:

Im Traffic Log sind folgende Meldungen auffällig:

Connection closing on SSL Accept failure

{N} Accept SSL Error [ret -1] | SSL err 1 | Details: SSL routines/ca key too small]

Überprüfung:

Im WSM-Client -> Firebox System Manger (FSM) unter View – Certificates können Sie Ihre Zertifikate überprüfen.

Hier wählen Sie das Proxy Authority Zertifikat aus und prüfen Sie auch das Proxy Server Zertifikat.

Lösung: Das Zertifikat für die Proxy Authority muss mit einer Schlüssellänge von mindestens 2048 Bit neu ausgestellt (re-issued) bzw. neu generiert werden und anschließen auf den Client-Rechnern verteilt werden.

In den genannten Fällen hatten die Kunden jeweils eine eigene PKI- (Zertifikatsinfrastruktur) mit selbsterstelltem Zertifikat und einer Schlüssellänge von 1024 Bit verwendet.

Hinweis: Ob die Firmware Releases 12.12.4 und 12.5.22 auch betroffen sind ist zum jetzigen Zeitpunkt noch nicht klar. Sobald uns hier neue Informationen vorliegen, werden diese hier im Artikel veröffentlicht.