Cisco IOS XE WLC 中的关键 CVE-2025-20188 (CVSS 10) 缺陷允许远程根部访问

思科发布了一项安全公告,解决了适用于无线局域网控制器(WLC)的IOS XE软件中的一个关键漏洞。该漏洞被识别为CVE-2025-20188,其CVSS评分为10,表明严重程度最高。

该咨询警告说,在带外接入点(AP)图像下载功能中存在漏洞。此漏洞可能允许未经身份验证的远程攻击者将任意文件上传到受影响的系统。vulnerability这个漏洞的根本原因是“在受影响的系统上存在硬编码的JSON Web令牌(JWT)”。

攻击者可以通过向 AP 映像下载界面发送精心制作的 HTTPS 请求来利用此漏洞。exploitation成功的利用可能会产生严重后果,可能允许攻击者“上传文件,执行路径遍历,并使用root权限执行任意命令”。

该咨询强调“要使开发成功,必须在设备上启用外AP图像下载功能。默认情况下未启用此功能。

该漏洞影响特定的思科产品运行针对 WLC 的 Cisco IOS XE Software 的易受攻击版本,并启用了外域 AP 图像下载功能。这些产品包括:

• Catalyst 9800-CL 云无线控制器
• Catalyst 9800 嵌入式无线控制器,用于 Catalyst 9300、9400 和 9500 系列交换机
• Catalyst 9800 系列无线控制器
• Catalyst AP 上的嵌入式无线控制器

思科提供了一种方法来检查是否启用了外频AP图像下载功能。管理员可以使用show running-config | include ap upgrade命令。如果命令返回ap upgrade method https启用该功能,设备易受攻击。

不幸的是,there are no workarounds that address this vulnerability该咨询指出“没有解决这一漏洞的变通办法。但是,作为缓解措施,管理员可以禁用外带AP图像下载功能。思科强烈建议实施此缓解措施,直到可以升级到固定软件版本。

思科发布了免费软件更新,以解决此漏洞。拥有服务合同的客户应通过其通常的更新渠道获取这些安全修复程序。

目前,思科产品安全事件响应小组(PSIRT)不知道任何公开公告或恶意使用此漏洞。