思科 IMC 漏洞攻击者利用提升的权限访问内部服务

思科集成管理控制器(IMC)中的一个重大漏洞,允许恶意行为者在未经适当授权的情况下获得提升的权限并访问内部服务。

这种漏洞给依赖思科服务器管理基础设施的企业网络带来了巨大风险,可能使攻击者能够破坏关键系统和敏感数据。

思科 IMC 特权升级缺陷

思科IMC漏洞(CVE-2025-20261)被归类为权限升级漏洞,利用了管理控制器Web界面中身份验证和授权机制的弱点。

该漏洞影响用于系统配置和监控的 RESTful API 端点,允许未经授权的用户操作服务器设置并访问受限功能。

技术分析显示,漏洞针对/redfish/v1/ API端点,其中会话验证不足使攻击者能够通过精心制作的HTTP请求升级其权限。

当 IMC 未能根据基于角色的访问控制 (RBAC) 策略正确验证用户凭据时,特别是在涉及 JSON Web Token (JWT) 操作和会话劫持技术的场景中,该漏洞会显示。

利用此漏洞可能对使用受影响的 Cisco IMC 系统的组织产生深远的影响。

获得提升权限的攻击者可以访问基板管理控制器(BMC)功能,使他们能够修改BIOS设置,访问带外管理接口,并可能安装持久固件级恶意软件。

这种级别的访问绕过了传统的安全控制,可以为攻击者提供跨网络基础设施横向移动的立足点。

该漏洞特别威胁到部署Cisco UCS(统一计算系统)服务器的数据中心环境。

利用此漏洞的攻击者可以访问思科集成管理控制器的IPMI(智能平台管理接口)功能,使他们能够监控系统运行状况,访问虚拟媒体服务,并可能拦截通过管理网络传输的敏感数据。

缓解战略

使用受影响的 Cisco IMC 系统的组织应立即实施全面的安全措施,以减轻与此漏洞相关的风险。

主要缓解涉及更新到最新的固件版本,以解决身份验证绕过和权限升级缺陷。

网络管理员应配置适当的网络分割,以将管理接口与生产网络隔离,并实现所有管理访问的多因素身份验证(MFA)。

额外的安全强化措施包括禁用IMC接口上不必要的服务,实施严格的防火墙规则以限制对TCP端口80、443和623的访问(用于通过LAN的IPMI),以及定期审核具有管理权限的用户帐户。

组织还应监控其安全信息和事件管理(SIEM)系统中的可疑活动,特别是关注对/api/端点的异常API调用以及未经授权访问基于Web的管理界面的尝试。