CVE-2025-20316
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Luka w programowaniu listy kontroli dostępu (ACL) w oprogramowaniu Cisco IOS XE dla przełączników Cisco Catalyst 9500X i 9600X może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na obejście skonfigurowanej listy ACL na urządzeniu. Luka wynika z zalewania ruchem z nieznanego adresu MAC na interfejsie wirtualnym przełącznika (SVI) z zastosowaną wychodzącą listą ACL. Atakujący może wykorzystać lukę, powodując wyczyszczenie tablicy adresów MAC w VLAN; stan ten może również wystąpić, gdy tablica adresów MAC jest pełna.
Ocena ryzyka
Obejście wychodzącej listy ACL może pozwolić atakującemu na ominięcie kontroli dostępu i dostęp do chronionych segmentów sieci. Może to prowadzić do nieautoryzowanego ruchu i naruszenia polityk bezpieczeństwa.
Rekomendacja
Zastosuj poprawki Cisco dla IOS XE na dotkniętych przełącznikach Catalyst 9500X/9600X oraz rozważ dodatkowe środki kontroli dostępu i monitorowanie tablicy MAC.
Inne podatności w Cisco IOS XE
Zobacz wszystkie- CVE-2017-12230Wysokie
Podatność w interfejsie użytkownika opartym na sieci web Cisco IOS XE 16.2 może pozwolić uwierzytelnionemu, zdalnemu atakującemu na podniesienie swoich uprawnień na podatnym urządzeniu. Problem wynika z nieprawidłowych domyślnych ustawień uprawnień dla nowych użytkowników tworzonych za pomocą tego interfejsu.
- CVE-2016-6378Wysokie
Cisco IOS XE w wersjach od 3.1 do 3.17 oraz 16.1 do 16.2 jest podatny na atak, który może prowadzić do awarii urządzenia poprzez specjalnie skonstruowane pakiety ICMP wymagające NAT.
- CVE-2016-6386Wysokie
Cisco IOS XE w wersjach od 3.1 do 3.17 oraz 16.1 na platformach 64-bitowych pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez uszkodzenie struktury danych i ponowne uruchomienie urządzenia za pomocą fragmentowanych pakietów IPv4.
- CVE-2015-6282Wysokie
Wersje Cisco IOS XE 2.x i 3.x przed 3.10.6S, 3.11.xS do 3.13.xS przed 3.13.3S oraz 3.14.xS do 3.15.xS przed 3.15.1S są podatne na atak, który może prowadzić do odmowy usługi poprzez ponowne uruchomienie urządzenia. Atakujący mogą wykorzystać pakiety IPv4 wymagające działań NAT i MPLS.
- CVE-2015-0645Wysokie
Funkcja przekierowania warstwy 4 (L4R) w Cisco IOS XE 2.x i 3.x przed wersją 3.10.4S, 3.11 przed 3.11.3S, 3.12 przed 3.12.2S, 3.13 przed 3.13.1S, 3.14 przed 3.14.0S oraz 3.15 przed 3.15.0S pozwala zdalnym atakującym na wywołanie odmowy usługi (przeładowanie urządzenia) poprzez źle sformatowane pakiety IPv4 lub IPv6.
- CVE-2015-0644Wysokie
AppNav w Cisco IOS XE w wersjach od 3.8 do 3.10 przed 3.10.3S, 3.11 przed 3.11.3S, 3.12 przed 3.12.1S, 3.13 przed 3.13.0S, 3.14 przed 3.14.0S oraz 3.15 przed 3.15.0S pozwala zdalnym atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez spreparowany pakiet TCP, znany jako Bug ID CSCuo53622.
- CVE-2015-0641Wysokie
Cisco IOS XE w wersjach 2.x i 3.x przed 3.9.0S oraz 3.10 przed 3.10.0S, 3.11 przed 3.11.0S, 3.12 przed 3.12.0S, 3.13 przed 3.13.0S, 3.14 przed 3.14.0S i 3.15 przed 3.15.0S jest podatny na atak typu denial of service, który może spowodować ponowne uruchomienie urządzenia poprzez specjalnie skonstruowane pakiety IPv6. Podatność ta jest znana jako Bug ID CSCub68073.
- CVE-2015-0639Wysokie
Funkcja Common Flow Table (CFT) w Cisco IOS XE w wersjach 3.6 i 3.7 przed 3.7.1S oraz w wersjach 3.8 do 3.15 przed odpowiednimi aktualizacjami, umożliwia zdalnym atakującym spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez źle sformułowane pakiety IPv6 z kapsułkowaniem UDP IPv4.
- CVE-2017-6663ŚrednieAktywnie exploitowane
Podatność w funkcji Autonomic Networking w Cisco IOS Software i Cisco IOS XE Software pozwala nieuwierzytelnionemu, sąsiadującemu atakującemu spowodować przeładowanie węzłów autonomicznych, prowadząc do odmowy usługi (DoS). Dotyczy m.in. wydań Denali-16.2.1 i Denali-16.3.1.
- CVE-2025-20338Średnie
Luka w CLI oprogramowania Cisco IOS XE może pozwolić uwierzytelnionemu, lokalnemu atakującemu z uprawnieniami administracyjnymi na wykonanie dowolnych poleceń jako root w systemie operacyjnym urządzenia. Wynika to z niewystarczającej walidacji argumentów przekazywanych do określonych poleceń CLI. Atakujący może zalogować się z uprawnieniami poziomu 15 i użyć spreparowanych poleceń.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the access control list (ACL) programming of Cisco IOS XE Software for Cisco Catalyst 9500X and 9600X Series Switches could allow an unauthenticated, remote attacker to bypass a configured ACL on an affected device. This vulnerability is due to the flooding of traffic from an unlearned MAC address on a switch virtual interface (SVI) that has an egress ACL applied. An attacker could exploit this vulnerability by causing the VLAN to flush its MAC address table. This condition can also occur if the MAC address table is full. A successful exploit could allow the attacker to bypass an egress ACL on an affected device.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS