Cisco, kimlik hizmetleri motorundaki (ISE) ve ISE Pasif Kimlik Konnektöründeki (ISE-PIC) iki maksimum sayılı güvenlik kusurunu ele almak için güncellemeler yayınladı ve bu da kimlik doğrulanmamış bir saldırganın kök kullanıcı olarak keyfi komutları yürütmesine izin verebilir.
CVE-2025-20281 ve CVE-2025-20282 CVE tanımlayıcıları atanan güvenlik açıkları, her biri 10.0 CVSS puanı taşır. Kusurların bir açıklaması aşağıdadır –
- CVE-2025-20281 – Cisco ISE ve ISE-PIC’yi etkileyen kimliği doğrulanmamış bir uzaktan kod yürütme güvenlik açığı 3.3 ve daha sonra, kimlik doğrulanmamış, uzaktan saldırganın temel işletim sisteminde kök olarak rastgele kod yürütmesine izin verebilir
- CVE-2025-20282 – Cisco ISE ve ISE-PIC sürüm 3.4’ü etkileyen, kimliği doğrulanmamış bir uzaktan kod yürütme kırılganlığı, kimliği doğrulanmamış, uzaktan saldırganın etkilenen bir cihaza keyfi dosyaları yüklemesine ve temel işletim sistemindeki bu dosyaları kök olarak yürütmesine izin verebilecek
Cisco, CVE-2025-20281’in, bir saldırganın yükseltilmiş ayrıcalıklar ve komutlar elde etmek için hazırlanmış bir API isteği göndererek kullanabileceği kullanıcı tarafından sağlanan girdinin yetersiz doğrulanmasının sonucu olduğunu söyledi.
Buna karşılık, CVE-2025-20282, yüklenen dosyaların ayrıcalıklı dizinlere yerleştirilmesini önleyecek dosya doğrulama kontrollerinin eksikliğinden kaynaklanmaktadır.
Cisco, “Başarılı bir istismar, saldırganın etkilenen sistemde kötü amaçlı dosyaları depolamasına ve daha sonra keyfi kod yürütmesine veya sistem üzerinde kök ayrıcalıkları almasına izin verebilir.” Dedi.
Ağ ekipmanı satıcısı, sorunları ele alan hiçbir geçici çözüm olmadığını söyledi. Eksiklikler aşağıdaki sürümlerde ele alınmıştır –
- CVE-2025-20281 -Cisco Ise veya Ise-Pic 3.3 Patch 6 (Ise-Apply-cscwo99449_3.0.430_patch4-spa.tar.gz), 3.4 Yama 2 (Ise-Apply-cscwo99449_3.4.0.608_patch1-spa.tar.gz)
- CVE-2025-20282 -Cisco Ise veya Ise-Pic 3.4 Yama 2 (Ise-Apply-cscwo99449_3.4.0.608_patch1-spa.tar.gz)
Şirket, CVE-2025-20281’i rapor etmek için GDO siber güvenlikinden Micro Zero Günü Girişimi’nden Bobby Gould’a ve Kentaro Kawane’ye kredi verdi. Daha önce CVE-2025-20286 (CVSS skoru: 9.9) bildiren Kawane, CVE-2025-20282’yi rapor ettiği için de kabul edildi.
Güvenlik açıklarının vahşi doğada kullanıldığına dair bir kanıt olmasa da, kullanıcıların potansiyel tehditlere karşı korunmak için düzeltmeleri uygulamak için hızlı bir şekilde hareket etmeleri önemlidir.