Сразу три уязвимости в Cisco Identity Services Engine (ISE) и Cisco ISE Passive Identity Connector (ISE-PIC). Все три на 10 баллов.
Cisco выпустила обновления программного обеспечения, устраняющие эти уязвимости. Обходных решений для данных уязвимостей не существует. Уязвимости не зависят друг от друга. Эксплуатация одной из них не требует наличия другой. Кроме того, версия ПО, уязвимая к одной из них, может быть не уязвима к другим.
Cisco рекомендует обновляться следующим образом:
- Если Cisco ISE работает на Release 3.4 Patch 2, дальнейшие действия не требуются.
- Если Cisco ISE работает на Release 3.3 Patch 6, дополнительные исправления доступны в Release 3.3 Patch 7, и устройство необходимо обновить.
- Если на Cisco ISE установлен hot patch
ise-apply-CSCwo99449_3.3.0.430_patch4-SPA.tar.gzилиise-apply-CSCwo99449_3.4.0.608_patch1-SPA.tar.gz, Cisco рекомендует обновиться до Release 3.3 Patch 7 или Release 3.4 Patch 2. Эти временные исправления не устраняют CVE-2025-20337 и были удалены из CCO.
Уязвимые продукты:
CVE-2025-20281 и CVE-2025-20337: Эти уязвимости затрагивают Cisco ISE и ISE-PIC версий 3.3 и 3.4, независимо от конфигурации устройства. Они не затрагивают версии 3.2 и более ранние.
Несколько уязвимостей в определённом API Cisco ISE и ISE-PIC позволяют неаутентифицированному удалённому злоумышленнику выполнять произвольный код в ОС с правами root. Для эксплуатации не требуются действительные учётные данные.
Причина уязвимостей — недостаточная проверка пользовательского ввода. Злоумышленник может воспользоваться этим, отправив специально сформированный API-запрос. Успешная эксплуатация позволит получить права root на уязвимом устройстве.
Идентификаторы:
- Bug ID: CSCwo99449, CSCwp02814
- CVE: CVE-2025-20281, CVE-2025-20337
- Уровень опасности: Критический
- CVSS: 10.0 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)
CVE-2025-20282: Эта уязвимость затрагивает только Cisco ISE и ISE-PIC версии 3.4, независимо от конфигурации. Она не затрагивает версии 3.3 и более ранние.
Уязвимость во внутреннем API Cisco ISE и ISE-PIC позволяет неаутентифицированному удалённому злоумышленнику загружать произвольные файлы на устройство и выполнять их с правами root.
Причина — отсутствие проверки загружаемых файлов, что позволяет размещать их в привилегированных каталогах. Злоумышленник может загрузить вредоносный файл, что приведёт к выполнению произвольного кода или получению прав root.
Идентификаторы:
- Bug ID: CSCwp02821
- CVE: CVE-2025-20282
- Уровень опасности: Критический
- CVSS: 10.0 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)
В июле 2025 года Cisco PSIRT обнаружила попытки эксплуатации некоторых из этих уязвимостей в реальных атаках. Cisco настоятельно рекомендует обновить ПО для устранения угроз.
