Vulnerabilidades críticas detectadas en el software Cisco IOS XR

Se han identificado múltiples vulnerabilidades de seguridad en Cisco IOS XR Software que afectan a varios modelos de dispositivos. Estas vulnerabilidades pueden ser aprovechadas por atacantes, tanto locales como remotos, con o sin autenticación, para explotar fallos en la validación de entradas, el procesamiento de paquetes y la configuración del software, lo que podría resultar en escalamiento de privilegios, denegación de servicio o la ejecución de software no autorizado.

  • CVE-2025-20138 (CVSS: 8.8): Una vulnerabilidad en la interfaz de línea de comandos (CLI) de Cisco IOS XR Software podría permitir a un atacante local y autenticado ejecutar comandos maliciosos con privilegios de administrador en el sistema operativo subyacente de un dispositivo afectado. Esto ocurre debido a una falta de verificación adecuada de los argumentos que el usuario pasa a ciertos comandos de la CLI. Un atacante con una cuenta de bajo privilegio podría explotar esta vulnerabilidad mediante comandos manipulados.

  • CVE-2025-20115 (CVSS: 8.6): Una vulnerabilidad en la implementación del protocolo BGP para la configuración de confederaciones en Cisco IOS XR Software podría permitir a un atacante remoto sin autenticación causar una denegación de servicio (DoS). Esto ocurre debido a una corrupción de memoria al procesar una actualización de BGP que incluye un atributo AS_CONFED_SEQUENCE con 255 o más números de sistemas autónomos (AS).

  • CVE-2025-20142 (CVSS: 8.6): Una vulnerabilidad en las listas de control de acceso (ACL) IPv4 y las políticas de calidad de servicio (QoS) en Cisco IOS XR Software para los enrutadores Cisco ASR 9000 Series, ASR 9902 y ASR 9903 podría permitir a un atacante remoto no autenticado causar el reinicio de un módulo de línea, lo que resultaría en una denegación de servicio (DoS). Esto se debe a un manejo incorrecto de los paquetes IPv4 que llegan a los módulos de línea con una ACL IPv4 o política QoS aplicada. Un atacante podría explotar esta vulnerabilidad enviando paquetes IPv4 manipulados a través de un dispositivo afectado.

  • CVE-2025-20146 (CVSS: 8.6): Una vulnerabilidad en la funcionalidad multicast de Cisco IOS XR Software para los enrutadores de la serie ASR 9000 podría permitir a un atacante remoto no autenticado causar el reinicio de un módulo de línea, lo que resultaría en una denegación de servicio (DoS). Esta vulnerabilidad ocurre debido a un manejo incorrecto de los paquetes IPv4 multicast malformados.

  • CVE-2025-20209 (CVSS: 7.5): Una vulnerabilidad en la función IKEv2 de Cisco IOS XR Software podría permitir a un atacante remoto no autenticado evitar que un dispositivo afectado procese cualquier paquete UDP. Esto ocurre debido a un manejo incorrecto de los paquetes IKEv2 con formato incorrecto o datos corruptos.

  • CVE-2025-20141 (CVSS: 7.4): Una vulnerabilidad en el manejo de paquetes que son dirigidos al procesador de rutas en Cisco IOS XR Software podría permitir que un atacante no autenticado adjunto cause que el tráfico del plano de control deje de funcionar en múltiples plataformas Cisco IOS XR.

  • CVE-2025-20177 (CVSS: 6.7): Una vulnerabilidad en el proceso de arranque de Cisco IOS XR Software podría permitir a un atacante local autenticado omitir la verificación de firma de la imagen de Cisco IOS XR y cargar software no verificado en un dispositivo afectado.

  • CVE-2025-20143 (CVSS: 6.7): Una vulnerabilidad en el proceso de arranque de Cisco IOS XR Software podría permitir a un atacante local con privilegios elevados omita la funcionalidad de arranque seguro y pueda cargar software no verificado en un dispositivo afectado.

  • CVE-2025-20145 (CVSS: 5.8): Una vulnerabilidad en el procesamiento de la lista de control de acceso (ACL) en la dirección de salida (egress) de Cisco IOS XR Software podría permitir a un atacante remoto no autenticado eludir una ACL configurada.

  • CVE-2025-20144 (CVSS: 4): Una vulnerabilidad en el procesamiento de ACL híbridas de Cisco IOS XR Software podría permitir a un atacante remoto no autenticado eludir una ACL configurada en un dispositivo afectado.

Producto, versiones afectadas y solución:

CVEProducto AfectadoVersiones AfectadasSolución
CVE-2025-20138Cisco IOS XR SoftwareTodas las versiones anteriores a la 24.4
(excepto la 24.3.1).		Actualizar a las versiones:
 24.4 o 24.3.1.
CVE-2025-20115Cisco IOS XR Software
(BGP)
CVE-2025-20142Cisco IOS XR Software
(ASR 9000 Series, ASR 9902, ASR 9903)		Todas las versiones menores iguales a la 7.8.
Todas las versiones menores a la 7.9.21.
Todas las versiones menores a la 7.10.2.		Actualizar a las versiones:
7.8, 7.9.21 o 7.10.2.
CVE-2025-20146Cisco IOS XR Software
(ASR 9000 Series, ASR 9902, ASR 9903)		Todas las versiones anteriores a la 24.4
(execpto la 7.9.2 y versiones previas)		Actualizar a las versiones:
24.4 o 7.9.2.
CVE-2025-20209Cisco IOS XR Software
(IKEv2)		Todas las versiones anteriores a la 24.3
(excepto la 24.2.2 y 7.11.21).		Actualizar a las versiones:
24.3, 24.2.2 o 7.11.21.
CVE-2025-20141Cisco IOS XR Software
(NCS 540, NCS 5500, NCS 5700)		Versiones entre la 7.8 y la 7.10.Actualizar a las versiones:
mayores a la 7.10,
menores a la 7.8.
CVE-2025-20177Cisco IOS XR Software
(General)		Todas las versiones anteriores a la 7.11.21.
Todas las versiones anteriores a la 24.2.2.
Todas las versiones anteriores a la 24.3.2.
Todas las versiones anteriores a la 24.4.1.		Actualizar a las versiones:
 24.4.1,  24.3.2, 24.2.2 o 7.11.21.
CVE-2025-20143Cisco IOS XR Software
(General)		Todas las versiones menores a la 7.9.1Actualizar a la version:
7.9.1 o posterior.
CVE-2025-20145Cisco IOS XR Software
(ACL Bypass)		8000 Series Modular Platforms:
Todas las versiones anteriores a la 25.1.1.
NCS 5500 Modular Platforms:
Todas las versiones anteriores a la 7.11.21.
Todas las versiones anteriores a la 24.2.2.		8000 Series Modular Platforms:
Actualizar a la 25.1.1.
NCS 5500 Modular Platforms:
Actualizar a la 7.11.21 o
 24.2.2.
CVE-2025-20144Cisco IOS XR Software
(ACL Bypass)		Todas las versiones menores a la 24.1
(excepto la 7.11.2).		Actualizar a las versiones:
 24.1 o  7.11.2.

Recomendaciones:

  • Aplicar las actualizaciones de seguridad lo antes posible para mitigar las vulnerabilidades identificadas.
  • Configurar correctamente las ACLs y políticas de QoS para prevenir la explotación de vulnerabilidades en redes de dispositivos afectados.
  • Realizar un monitoreo continuo de los dispositivos afectados para detectar posibles intentos de explotación o actividad maliciosa.

Referencias: