Cisco heeft updates vrijgegeven om twee beveiligingsfouten met maximaal ernstige beveiligingsfouten in Identity Services-engine (ISE) en ISE Passive Identity Connector (ISE-PIC) (ISE-PIC) aan te pakken, waardoor een niet-geautoreerde aanvaller willekeurige opdrachten als rootgebruiker uitvoeren.
De kwetsbaarheden, de CVE-ID’s CVE-2025-20281 en CVE-2025-20282 toegewezen, dragen een CVSS-score van 10,0 elk. Een beschrijving van de defecten is hieronder –
- CVE-2025-20281 – Een niet-geauthenticeerde kwetsbaarheid voor externe code-uitvoering die van invloed is op Cisco ISE en ISE-PIC releases 3.3 en later waardoor een niet-geauthenticeerde, externe aanvaller willekeurige code op het onderliggende besturingssysteem als root kan uitvoeren als root
- CVE-2025-20282 – Een niet-geauthenticeerde kwetsbaarheid voor externe code-uitvoering die van invloed is op Cisco ISE en ISE-PIC Release 3.4 waarmee een niet-geauthenticeerde, externe aanvaller willekeurige bestanden naar een getroffen apparaat kunnen uploaden en die bestanden op het onderliggende besturingssysteem als root kunnen uitvoeren als root
Cisco zei dat CVE-2025-20281 het resultaat is van onvoldoende validatie van door de gebruiker geleverde invoer, die een aanvaller zou kunnen exploiteren door een vervaardigd API-verzoek te sturen om verhoogde privileges te verkrijgen en commando’s uit te voeren.
CVE-2025-20282 komt daarentegen voort uit een gebrek aan bestandsvalidatiecontroles die anders zouden voorkomen dat de geüploade bestanden in bevoorrechte mappen worden geplaatst.
“Een succesvolle exploit kan de aanvaller in staat stellen om kwaadaardige bestanden op het getroffen systeem op te slaan en vervolgens willekeurige code uit te voeren of rootprivileges op het systeem te verkrijgen,” zei Cisco.
De leverancier van netwerkapparatuur zei dat er geen tijdelijke oplossingen zijn die de problemen aanpakken. De tekortkomingen zijn aangepakt in de onderstaande versies –
- CVE-2025-20281 -Cisco ISE of ISE-PIC 3.3 Patch 6 (ISE-APPLY-CSCWO99449_3.3.0.430_patch4-spa.tar.gz), 3.4 Patch 2 (ISE-Apply-CSCWO99449_3.4.0.608_Patch1-spa.tar.gz)
- CVE-2025-20282 -Cisco ISE of ISE-PIC 3.4 Patch 2 (ISE-APPLY-CSCWO99449_3.4.0.608_PATCH1-Spa.tar.gz)
Het bedrijf heeft Bobby Gould of Trend Micro Zero Day Initiative en Kentaro Kawane van GMO Cybersecurity gecrediteerd voor het melden van CVE-2025-20281. Kawane, die eerder CVE-2025-20286 (CVSS-score: 9,9) rapporteerde, is ook erkend voor het melden van CVE-2025-20282.
Hoewel er geen bewijs is dat de kwetsbaarheden in het wild zijn uitgebuit, is het essentieel dat gebruikers snel gaan om de oplossingen toe te passen om te beschermen tegen potentiële bedreigingen.
