🔍 概述
CVE-2025-20354 是 Cisco统一联络中心快递（CCX） 中的一个 关键远程代码执行（RCE） 漏洞。该漏洞源于 Java远程方法调用（RMI） 过程中的 身份验证不当，使得 未经身份验证的攻击者 能够上传并执行任意文件 并以root权限运行。
严重性等级: 9.8 / 10 (严重) 攻击向量:
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HCWE分类: 434 — 危险类型文件的无限制上传 披露日期: 2025年11月
🧩 受影响产品
| 产品 | 受影响版本 | 修复版本 |
|---|---|---|
| Cisco Unified Contact Center Express (CCX) | 12.5 SU3 ES07 及更早版本 | 12.5 SU3 ES08 |
| Cisco Unified Contact Center Express (CCX) | 15.0 ES01之前的版本 | 15.0 ES01 |
📦 影响: 完全的系统沦陷 — 攻击者无需凭据即可远程获取root访问权限。
⚙️ 技术总结
- 漏洞存在于用于远程方法调用的 RMI服务 中。
- 对传入请求的 身份验证缺失或验证不足 导致允许上传任意文件。
- 上传的有效负载可以 root用户 身份执行。
- 利用漏洞仅需要 网络访问 到存在漏洞的服务。
🧰 缓解与修复措施
✅ 推荐操作
-
立即修补
- 为您的CCX版本应用Cisco的官方更新。
- Cisco安全公告 — CVE-2025-20354
-
限制访问
- 从未受信任的网络中阻止或隔离RMI接口。
- 使用防火墙或ACL将访问权限限制为仅限管理IP。
-
监控与检测
- 监视可疑的RMI流量、文件上传或系统目录中的新二进制文件。
- 审查日志中是否有意外的Java进程执行记录。
🚨 重要性说明
💀 无需身份验证的攻击者 → 无需登录 🧨 Root权限 → 完全的系统控制权 🌐 可利用网络 → 威胁扩展到内部网络之外
由于这些因素，该CVE是 Cisco CCX历史上最严重的漏洞之一，需要 紧急修复。
🕵️♂️ 入侵指标 (IoCs)
- CCX临时目录中出现异常的
.jar或.class文件 - 从CCX主机到未知IP的出站连接
- 系统中出现带有Java元数据的新增或修改过的二进制文件 6HFtX5dABrKlqXeO5PUv/ydjQZDJ7Ct83xG1NG8fcAOQXfZ1zhhBpM3wWfXqkh38
