Analyse en français

CVE-2023-20198 est une faille critique (CVSS 10) dans l'interface web de Cisco IOS XE, activement exploitée. Elle permet un accès initial avec création d'un utilisateur local, puis une élévation de privilèges via CVE-2023-20273. Sont concernés les équipements Cisco IOS XE ainsi que des firmwares Allen-Bradley Stratix 5200 et 5800.

Impact

Un attaquant distant non authentifié peut exploiter l'interface web exposée pour créer un compte local avec privilège 15, puis obtenir les droits root et installer un implant persistant sur le système.

Que faire ?

Appliquer les correctifs Cisco IOS XE listés par l'éditeur et vérifier la version via le Cisco Software Checker. Désactiver ou restreindre l'interface web aux réseaux de confiance si elle n'est pas indispensable. Rechercher des signes de compromission (utilisateur local non autorisé, implant) et signaler tout résultat positif à l'autorité compétente.

Analyse générée par IA le 03/11/2026 : vérifiez l'avis officiel de l'éditeur.

Exploitation active confirmée

Ajoutée au catalogue CISA KEV le 16/10/2023, correctif exigé avant le 20/10/2023 pour les agences fédérales américaines.

Action requise : Verify that instances of Cisco IOS XE Web UI are in compliance with BOD 23-02 and apply mitigations per vendor instructions. For affected products (Cisco IOS XE Web UI exposed to the internet or to untrusted networks), follow vendor instructions to determine if a system may have been compromised and immediately report positive findings to CISA.

Description officielle (NVD)

Cisco is providing an update for the ongoing investigation into observed exploitation of the web UI feature in Cisco IOS XE Software. We are updating the list of fixed releases and adding the Software Checker. Our investigation has determined that the actors exploited two previously unknown issues. The attacker first exploited CVE-2023-20198 to gain initial access and issued a privilege 15 command to create a local user and password combination. This allowed the user to log in with normal user access. The attacker then exploited another component of the web UI feature, leveraging the new local user to elevate privilege to root and write the implant to the file system. Cisco has assigned CVE-2023-20273 to this issue. CVE-2023-20198 has been assigned a CVSS Score of 10.0. CVE-2023-20273 has been assigned a CVSS Score of 7.2. Both of these CVEs are being tracked by CSCwh87343.

Preuves de concept publiques (36)

Dépôts tiers non vérifiés, parfois piégés. Ne les exécutez jamais en production : uniquement dans un environnement de test isolé.

smokeintheshell/CVE-2023-20198 · ★ 67 · 16/11/2023
CVE-2023-20198 Exploit PoC
W01fh4cker/CVE-2023-20198-RCE · ★ 44 · 25/04/2024
CVE-2023-20198-RCE, support adding/deleting users and executing cli commands/system commands.
fox-it/cisco-ios-xe-implant-detection · ★ 41 · 23/10/2023
Cisco IOS XE implant scanning & detection (CVE-2023-20198, CVE-2023-20273)
Shadow0ps/CVE-2023-20198-Scanner · ★ 33 · 23/10/2023
This is a webshell fingerprinting scanner designed to identify implants on Cisco IOS XE WebUI's affected by CVE-2023-20198 and CVE-2023-20273
ZephrFish/CVE-2023-20198-Checker · ★ 32 · 17/10/2023
CVE-2023-20198 & 0Day Implant Scanner
Atea-Redteam/CVE-2023-20198 · ★ 19 · 17/10/2023
CVE-2023-20198 Checkscript
Tounsi007/CVE-2023-20198 · ★ 11 · 18/10/2023
CVE-2023-20198 PoC (!)
Pushkarup/CVE-2023-20198 · ★ 8 · 23/10/2023
A PoC for CVE 2023-20198
RevoltSecurities/CVE-2023-20198 · ★ 7 · 03/11/2023
An Exploitation script developed to exploit the CVE-2023-20198 Cisco zero day vulnerability on their IOS routers
iveresk/cve-2023-20198 · ★ 6 · 20/10/2023
1vere$k POC on the CVE-2023-20198