Spätná väzba k reportu

Autentizovanému lokálnemu útočníkovi je v dôsledku nedostatočného overovania používateľských argumentov v CLI Cisco IOS XR Software umožnené zvýšiť svoje oprávnenia na úroveň root a vykonávať ľubovoľné príkazy [2].

Zraniteľnosť sa nachádza v produkte:

• *:Cisco IOS XR; <=24.1; >=24.2.0, <24.2.21; =24.3

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

• CVE-2025-20138 na cve.org, NVD
• CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 3. 2025.

Neautentizovanému vzdialenému útočníkovi je v produkte Cisco IOS XR Software pre smerovače Cisco ASR 9000, ASR 9902 a ASR 9903 umožnené resetovať linkovú kartu, a tým vykonať odmietnutie služby [3].

Zraniteľnosť sa nachádza v produkte:

• *:Cisco IOS XR Software; <=7.8; >=7.9, <7.9.21; >=7.10; <7.10.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H

Viac informácií:

• CVE-2025-20142 na cve.org, NVD
• CWE-20: Improper Input Validation na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 3. 2025.

Neautentizovanému vzdialenému útočníkovi je v produkte Cisco IOS XR Software pre smerovače Cisco ASR 9000, ASR 9902 a ASR 9903 umožnené resetovať linkovú kartu, a tým vykonať odmietnutie služby [4].

Zraniteľnosť sa nachádza v produkte:

• *:Cisco IOS XR; <24.2.21

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H

Viac informácií:

• CVE-2025-20146 na cve.org, NVD
• CWE-20: Improper Input Validation na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 3. 2025.

Autentizovanému vzdialenému útočníkovi je v dôsledku viacerých zraniteľností v subsystéme SNMP softvéru Cisco IOS, Cisco IOS XE a Cisco IOS XR umožnené spôsobiť odmietnutie služby [5].

Zraniteľnosť sa nachádza v produktoch:

• *:Cisco IOS Software; >=15.2E, <15.2(7)E12; >=15.5SY, <15.5(1)SY15; >=15.9M, <15.9(3)M11
• *:Cisco IOS XE Software; >=3.11E, <3.11.12E; >=16.12, <16.12.13; >=17.9, <17.9.7; >=17.12, <17.12.5; >=17.15, <17.15.3
• *:Cisco IOS XR Software; <=24.2, >=24.2, <24.2.21; >=24.3, <24.4.2; >=24.4, <24.4.2; >=25.2; <25.2.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H

Viac informácií:

• CVE-2025-20169 na cve.org, NVD
• CVE-2025-20170 na cve.org, NVD
• CVE-2025-20171 na cve.org, NVD
• CVE-2025-20172 na cve.org, NVD
• CVE-2025-20173 na cve.org, NVD
• CVE-2025-20174 na cve.org, NVD
• CVE-2025-20175 na cve.org, NVD
• CVE-2025-20176 na cve.org, NVD
• CWE-805: Buffer Access with Incorrect Length Value na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 3. 2025.

Autentizovanému lokálnemu útočníkovi s vysokým oprávnením je umožnené obísť funkciu Secure Boot a načítať neoverený softvér na zariadení so softvérom Cisco IOS XR [6].

Zraniteľnosť sa nachádza v produkte:

• *:Cisco IOS XR Software; <=7.8; >=7.9, <7.9.1

CVSS: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2025-20143 na cve.org, NVD
• CWE-347: Improper Verification of Cryptographic Signature na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 3. 2025.

Autentizovanému lokálnemu útočníkovi s oprávnením root-system je umožnené obísť overovanie podpisu obrazu Cisco IOS XR a načítať neoverený softvér na postihnutom zariadení [7].

Zraniteľnosť sa nachádza v produkte:

• *:Cisco IOS XR Software; <=7.10; >=7.11, <7.11.21; >=24.2, <24.2.2; >=24.3, <24.3.2, >=24.4, <24.4.1

CVSS: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2025-20177 na cve.org, NVD
• CWE-274: Improper Handling of Insufficient Privileges na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 3. 2025.

Neautentizovanému vzdialenému útočníkovi je v dôsledku poškodenia pamäte v implementácii konfederácií Border Gateway Protocolu (BGP) v softvéri Cisco IOS XR umožnené spôsobiť odmietnutie služby [8].

Zraniteľnosť sa nachádza v produkte:

• *:Cisco IOS XR Software; <=7.11; <=24.1; >=24.2, <24.2.21; >=24.3, <24.3.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H

Viac informácií:

• CVE-2025-20115 na cve.org, NVD
• CWE-120: Buffer Copy without Checking Size of Input ('Classic Buffer Overflow') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 3. 2025.

Neautentizovanému vzdialenému útočníkovi je v dôsledku zraniteľnosti vo funkcii Internet Key Exchange verzie 2 (IKEv2) v softvéri Cisco IOS XR umožnené zabrániť postihnutému zariadeniu v spracovaní akýchkoľvek UDP paketov riadiacej roviny [9].

Zraniteľnosť sa nachádza v produkte:

• *:Cisco IOS XR; <=7.10; >=7.11, <7.11.21; >=24.1, <24.2.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2025-20209 na cve.org, NVD
• CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 3. 2025.

Neautentizovanému útočníkovi v lokálnej sieti je v dôsledku zraniteľnosti v spracovaní špecifických paketov v softvéri Cisco IOS XR umožnené zastaviť prevádzku riadiacej roviny na viacerých platformách [10].

Zraniteľnosť sa nachádza v produkte:

• *:Cisco IOS XR Software; =7.9.2

CVSS: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H

Viac informácií:

• CVE-2025-20141 na cve.org, NVD
• CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 3. 2025.