Cisco IOS XE Wireless LAN の脆弱性 CVE-2025-20188 が FIX：完全な制御奪取の恐れ

Cisco IOS XE Wireless Controllers Vulnerability Lets Attackers Seize Full Control

2025/05/08 gbhackers — Cisco IOS XE Wireless LAN Controllers (WLC) に存在する、深刻なセキュリティ上の欠陥が明らかにされた。この脆弱性を悪用する未認証のリモート攻撃者は、影響を受けるデバイスの完全な制御の可能性を手にする。この脆弱性 CVE-2025-20188 が悪用されると、任意のファイルがアップロードされ、ルート権限でのコマンド実行が達成されるため、世界中の企業のワイヤレ・スネットワークに重大な脅威を生じる恐れがある。

脆弱性の概要

WLC 用 Cisco IOS XE ソフトウェアにおける、Out-of-Band AP (Access Point) Image Download 機能で使用される、ハードコードされた JSON Web トークン (JWT) に、この脆弱性は起因する。

この機能が有効化されているケースにおいてリモート攻撃者は、細工した HTTPS リクエストを介して脆弱性 CVE-2025-20188 を悪用し、任意のファイルのアップロード／パス・トラバーサルを引き起こし、最終的には root 権限でシステム・コマンドを実行する機会を得る。

この攻撃が成功すると、攻撃者は Wireless LAN Controllers を乗っ取り、管理下にある全てのデバイスとクライアントを侵害する可能性を手にする。その結果として、不正なネットワークアクセス／データの窃取／ワイヤレスサービスの妨害などが生じる可能性がある。

管理者に対して強く推奨されるのは、緊急の対策として Out-of-Band AP Image Download 機能を無効化し、新たにリリースされたソフトウェア更新プログラムを適用することである。

影響を受ける製品一覧
製品名脆弱性の条件関連 CVE
Catalyst 9800-CL Wireless Controllers for CloudIOS XE WLC 機能有効





CVE-2025-20188
Catalyst 9800 Embedded Wireless Controller for Catalyst 9300/9400/9500IOS XE WLC 機能有効
Catalyst 9800 Series Wireless ControllersIOS XE WLC 機能有効
Embedded Wireless Controller on Catalyst APsIOS XE WLC 機能有効
緩和策と推奨事項

現時点において、直接的な回避策は存在しない。そのため、Cisco は以下の対応を推奨している。

  • CLI 経由で Out-of-Band AP イメージのダウンロードを無効化する：
wlc# show running-config | include ap upgrade
ap upgrade method https

上記の出力で “ap upgrade method https” が表示される場合には、この機能を直ちに無効化する必要がある。

  • ソフトウェアの更新：

通常の更新チャネル経由で提供されている、Cisco のパッチ適用済みリリースの適用が推奨される。

  • ネットワーク・セグメンテーションの確認：

管理インターフェイスの露出先が、信頼できるネットワークだけに限定されていることを確認する必要がある。

影響を受ける Cisco WLC プラットフォームを運用している組織に対して、強く推奨されるのは、この脆弱性 CVE-2025-20188 への露出状況を評価し、修正済みのソフトウェアバージョンへ速やかに更新することで、潜在的な悪用を未然に防止することである。

Cisco の Wireless LAN Controllers に深刻な脆弱性です。文中では、緊急の対策としての Out-of-Band AP Image Download 機能を無効化が推奨されています。ご利用のチームは、十分に ご注意ください。よろしければ、Cisco で検索も、ご利用ください。