Cisco dicht kritiek lek in IOS XE waardoor aanvallers apparaten kunnen overnemen
Cisco heeft een kritiek beveiligingslek (maximale ernst) in zijn IOS XE Software voor Wireless LAN Controllers verholpen. Het lek, aangeduid als CVE-2025-20188, wordt veroorzaakt door een hardgecodeerde JSON Web Token (JWT) die een niet-geauthenticeerde externe aanvaller in staat stelt de controle over getroffen apparaten te krijgen.
Dit token is bedoeld om verzoeken te authenticeren voor de functie 'Out-of-Band AP Image Download'. Omdat het token hardgecodeerd is, kan iedereen zich zonder inloggegevens voordoen als een geautoriseerde gebruiker zo meldt Bleepingcomputer.
De CVSS-score van het lek is de maximale 10.0, wat betekent dat aanvallers de apparaten volledig kunnen compromitteren.
"Een aanvaller zou dit lek kunnen misbruiken door speciaal ontworpen HTTPS-verzoeken naar de AP image download interface te sturen," aldus Cisco in een beveiligingsbulletin. "Een succesvolle exploitatie zou de aanvaller in staat stellen bestanden te uploaden, path traversal uit te voeren en willekeurige commando's met root-privileges uit te voeren."
Dutch IT events
Alle events
Over Witold Kepinski
