Vulnérabilité critique d'élévation de privilèges affectant Cisco IOS XE Software
Une vulnérabilité critique d'élévation de privilèges a été mise en évidence dans la fonctionnalité d'interface utilisateur web (Web UI) de Cisco IOS XE Software. Elle permettrait à un cyberattaquant distant et non authentifié de créer un compte doté des privilèges d'administration les plus élevés (niveau 15).
Description
Contexte technique et détails de la vulnérabilité
Cisco IOS XE Software est le système d'exploitation propulsant les routeurs, commutateurs d'entreprise Catalyst et contrôleurs de réseau étendu de l'écosystème Cisco.
Ces produits sont affectés par les vulnérabilités libellées comme suit :
CVE-2025-20188 : vulnérabilité due à une absence d'authentification valide au sein du service HTTP/HTTPS d'administration. Un acteur distant peut envoyer des requêtes forgées pour créer immédiatement un compte super-administrateur de niveau 15. Elle est classée critique avec un score de sévérité de 10.0 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Création non autorisée de comptes administrateurs de niveau 15 ;
- Prise de contrôle complète et immédiate de l'équipement réseau Cisco ;
- Détournement, interception et falsification du trafic réseau d'entreprise ;
- Atteinte maximale à la confidentialité, l'intégrité et la disponibilité du réseau.
Systèmes affectés
Produits, composants et versions concernés
- Cisco IOS XE Software : toutes versions lorsque la fonction Web UI (HTTP Server ou HTTPS Server) est active.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Appliquer sans attendre les correctifs logiciels publiés par l'éditeur Cisco ;
- Mesure palliative prioritaire : désactiver immédiatement le serveur web d'administration (commandes no ip http server et no ip http secure-server) sur les équipements ;
- Limiter drastiquement les accès administratifs aux seuls sous-réseaux dédiés.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.