Изследователи от Horizon3 публикуваха технически подробности относно сериозна уязвимост в Cisco IOS XE Wireless LAN Controller (WLC), проследявана под идентификатора CVE-2025-20188. Макар и публикацията да не съдържа директно експлоитируем скрипт, тя предоставя достатъчно информация, която може да бъде използвана от квалифицирани нападатели – или дори от модели с изкуствен интелект – за създаване на напълно функциониращ експлойт.

Уязвимостта е от максимална степен на критичност, като позволява отдалчено изпълнение на произволен код с root привилегии, ако е активирана определена функционалност на засегнатото устройство.

Какво представлява CVE-2025-20188

Cisco разкри уязвимостта на 7 май 2025 г., като обяви, че се дължи на хардкодирана стойност на JSON Web Token (JWT), използвана във вътрешните скриптове за обработка на заявки. Проблемът се проявява само при активирана функция Out-of-Band AP Image Download, използвана за извличане на образи на точки за достъп (AP).

Засегнати са следните модели:

• Catalyst 9800-CL Wireless Controllers for Cloud

• Catalyst 9800 Embedded Wireless Controller за Catalyst 9300, 9400 и 9500 серии

• Catalyst 9800 Series Wireless Controllers

• Embedded Wireless Controller on Catalyst APs

Механизъм на атаката

Анализът на Horizon3 разкрива, че проблемът се корени в използването на OpenResty (комбинация от Lua и Nginx) за валидиране на JWT токени и качване на файлове. Ако файлът /tmp/nginx_jwt_key липсва, системата използва фиксираната стойност "notfound" като таен ключ за верификация.

Това означава, че всеки нападател може да генерира валидни JWT токени, използвайки алгоритъм HS256 и ключ "notfound", без да притежава валидни идентификационни данни.

Примерната атака, демонстрирана от изследователите, включва HTTP POST заявка към порт 8443 и endpoint /ap_spec_rec/upload/, с помощта на която се извършва path traversal за поставяне на файл извън позволените директории. Това позволява на атакуващия да качи например конфигурационен скрипт или backdoor.

Следваща стъпка е ескалация до изпълнение на код, като например през системната услуга pvp.sh, която следи определени директории и автоматично презарежда конфигурации. Чрез подмяна на такива файлове, нападателят може да изпълни произволен код с root права.

Потенциален мащаб и препоръки

Cisco предупреждава, че ако уязвимостта бъде експлоатирана, това може да доведе до пълен компромис на системата, включително изпълнение на команди, качване на зловреден код и подмяна на конфигурации.

Препоръчително е незабавно обновление до версия 17.12.04 или по-нова, която съдържа корекция на проблема.

Като временна мярка, администраторите могат да деактивират функцията Out-of-Band AP Image Download, което ще затвори засегнатата услуга и ще ограничи възможността за атака.