Cisco ha lanzado una actualización para corregir una vulnerabilidad de máxima gravedad en su software IOS XE, afectando a ciertos controladores inalámbricos. La falla se debe a un token web JSON (JWT) codificado de forma rígida que puede ser explotado por atacantes remotos no autenticados para tomar el control de los dispositivos.
Detalles técnicos de la vulnerabilidad
El token JWT está diseñado para autenticar solicitudes a una función denominada «Out-of-Band AP Image Download». Al estar codificado de forma rígida, cualquier persona puede suplantar la identidad de un usuario autorizado sin necesidad de credenciales.
Según el boletín del proveedor, la vulnerabilidad se identifica como CVE-2025-20188 y tiene una puntuación CVSS máxima de 10.0. Esto permite a los actores de amenazas comprometer completamente los dispositivos. «Un atacante podría explotar esta vulnerabilidad enviando solicitudes HTTPS manipuladas a la interfaz de descarga de imágenes de AP. Una explotación exitosa podría permitir al atacante cargar archivos, atravesar rutas y ejecutar comandos arbitrarios con privilegios de root».
Condiciones para la explotación
CVE-2025-20188 solo es explotable cuando la función «Descarga de imágenes de AP fuera de banda» está habilitada en el dispositivo, lo cual no está activado por defecto. Esta función permite a los puntos de acceso (AP) descargar imágenes del sistema operativo mediante HTTPS en lugar del protocolo CAPWAP.
Aunque está deshabilitada por defecto, algunas implementaciones empresariales a gran escala o automatizadas pueden habilitarla para aprovisionar o recuperar los AP más rápidamente.
Dispositivos afectados
- Controlador inalámbrico Catalyst 9800-CL para la nube
- Controlador inalámbrico integrado Catalyst 9800 para switches de las series Catalyst 9300, 9400 y 9500
- Controladores inalámbricos de la serie Catalyst 9800
- Controlador inalámbrico integrado en puntos de acceso Catalyst
Productos no afectados
Los productos que se ha confirmado que no se ven afectados por el problema de JWT codificado son: Cisco IOS (no XE), Cisco IOS XR, productos Cisco Meraki, Cisco NX-OS y WLC basados en Cisco AireOS.
Acciones recomendadas
Cisco ha publicado actualizaciones de seguridad para abordar esta vulnerabilidad crítica, por lo que se recomienda a los administradores de sistemas que las apliquen lo antes posible.
Los usuarios pueden determinar la versión exacta que corrige la falla en su dispositivo utilizando el verificador de software de Cisco para su modelo específico.
Aunque no existen mitigaciones ni soluciones alternativas para CVE-2025-20188, deshabilitar la función «Descarga de imágenes de AP fuera de banda» es una defensa sólida.
Actualmente, Cisco no tiene constancia de ningún caso de explotación activa de CVE-2025-20188. Sin embargo, dada la gravedad del problema, es probable que los actores de amenazas comiencen a escanear de inmediato los endpoints vulnerables expuestos.