Cisco avertizează asupra unor vulnerabilități RCE în Identify Services Engine

Cisco a publicat un buletin de informare cu privire la două vulnerabilități neautentificate critice, de executare de cod de la distanță (RCE) ce afectează Cisco Identity Services Engine (ISE) și Passive Identity Connector (ISE-PIC).

CVE-2025-20281 a primit un grad de severitate critic și un scor CvSS de 9.8/10 și afectează versiunile ISE și ISE-PIC 3.4 și 3.3, iar CVE-2025-20282 a primit un grad de severitate critic și un scor CvSS de 10/10 și afectează doar versiunea 3.4.

Cauza principală a CVE-2025-20281 este o validare necorespunzătoare a datelor de intrare furnizate de utilizator într-un anumit API expus. Acest lucru permite unui atacator de la distanță, neautentificat, să trimită o cerere API malițioasă pentru a executa comenzi arbitrare ale sistemului de operare cu drepturi de root.

A doua vulnerabilitate, CVE-2025-20282, este cauzată de validarea necorespunzătoare a fișierelor într-un API intern, care permite scrierea fișierelor în directoare privilegiate.Aceasta permite atacatorilor neautentificați de la distanță sî încarce fișiere arbitrare în sistemul vizat și să le execute cu privilegii de root.

Cele două vulnerabilități ar putea permite compromiterea și preluarea completă de la distanță a dispozitivului vizat fără autentificare sau interacțiunea cu utilizatorul.

Cisco a precizat că nu are cunoștință de existența unor cazuri de exploatare activă a celor două vulnerabilități, dar instalarea noilor actualizări ar trebui să fie o prioritate.

Utilizatorilor li se recomandă să actualizeze la 3.3 Patch 6 (ise-apply-CSCwo99449_3.3.0.430_patch4) și 3.4 Patch 2 (ise-apply-CSCwo99449_3.4.0.608_patch1) sau la o versiune ulterioară. Nu au fost furnizate soluții de remediere pentru a diminua vulnerabilitățile, astfel încât aplicarea actualizărilor de securitate este soluția recomandată.

Cisco a publicat, de asemenea, un buletin referitor la o vulnerabilitate de ocolire a autentificării cu grad de severitate mediu, urmărită ca CVE-2025-20264, ce afectează ISE.

CVE-2025-20264 afectează toate versiunile de ISE până la ramura 3.4. Soluțiile au fost puse la dispoziție în 3.4 Patch 2 și 3.3 Patch 5.

ISE 3.1 și versiunile anterioare sunt, de asemenea, afectate, dar nu mai sunt compatibile, iar utilizatorilor li se recomandă să migreze la o versiune mai nouă.

Sursă: https://www.bleepingcomputer.com/news/security/cisco-warns-of-max-severity-rce-flaws-in-identity-services-engine/