Informazioni sul CVE-2025-20143
Cisco IOS XR Software Secure Boot Bypass Vulnerability
CWE ID: CWE-347
Base Score (CVSS): N/A
CVE: CVE-2025-20143
Descrizione: Una vulnerabilità nel processo di avvio del software Cisco IOS XR può permettere a un attaccante autenticato e locale con elevati privilegi di bypassare la funzionalità di Secure Boot e caricare software non verificato su un dispositivo compromesso. Per sfruttare questa vulnerabilità, l’attaccante deve avere privilegi di root sul dispositivo compromesso. Questa vulnerabilità è dovuta a una verifica insufficiente dei moduli nel processo di caricamento del software. Un attaccante potrebbe sfruttare questa vulnerabilità manipolando i binari caricati per aggirare alcune delle verifiche di integrità che vengono eseguite durante il processo di avvio. Un exploit riuscito potrebbe consentire all’attaccante di controllare la configurazione di avvio, il che potrebbe consentire loro di aggirare il requisito di eseguire immagini firmate Cisco o alterare le proprietà di sicurezza del sistema in esecuzione. Nota: questa vulnerabilità si applica al software Cisco IOS XR, non alla funzionalità di Secure Boot. Cisco ha rilasciato aggiornamenti software che affrontano questa vulnerabilità. Non ci sono soluzioni alternative per questa vulnerabilità.
Vettore di attacco CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Punteggio CVSS
Il CVSS è un sistema di valutazione che misura la gravità di una vulnerabilità informatica considerando fattori come l’impatto potenziale, la probabilità di attacco e la facilità di esecuzione.
Riassunto: Accesso: Local, Privilegi: High, Interazione utente: None, Confidenzialità: High, Integrità: High, Disponibilità: High.
Dettaglio del Vettore
| Metrica | Valore | Significato | Descrizione |
|---|---|---|---|
| Attack Vector (AV) | L | Local | L’attaccante deve avere accesso locale al sistema. |
| Attack Complexity (AC) | L | Low | L’attacco non richiede condizioni particolari. |
| Privileges Required (PR) | H | High | Richiede privilegi elevati. |
| User Interaction (UI) | N | None | Non è richiesta interazione dell’utente. |
| Scope (S) | U | Unchanged | Il raggio d’azione non cambia. |
| Confidentiality Impact (C) | H | High | Grave impatto sulla riservatezza. |
| Integrity Impact (I) | H | High | Grave impatto sull’integrità. |
| Availability Impact (A) | H | High | Rende il sistema inutilizzabile. |
Riferimenti esterni
- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sb-lkm-zNErZjbZ
- https://blog.apnic.net/2024/09/02/crafting-endless-as-paths-in-bgp/
Prodotti interessati
- Cisco – Cisco IOS XR Software
Relazioni con altri prodotti
Produttore:Cisco
Prodotto: Cisco IOS XR Software
Anno: 2025
CWE: CWE-347
CVSS: 0.0