Cisco, kimlik hizmetleri motorunda (ISE) ve ISE Pasif Kimlik Konnektörü’nde (ISE-PIC), kimlik doğrulanmamış uzak saldırganların etkilenen sistemlerde kök ayrıcalıkları ile keyfi komutlar yürütmesine izin verebilecek birden fazla kritik güvenlik açıkını açıkladı.
CVE-2025-20281, CVE-2025-20282 ve CVE-2025-20337’de atanan güvenlik açıkları, en şiddetli risk seviyesini gösteren maksimum CVSS skorunu 10.0 taşır.
Güvenlik Açığı Özeti
| CVE kimliği | Etkilenen sürümler | Yamalı versiyonlar | Tanım |
|---|---|---|---|
| CVE-2025-20281 | Ise/Ise-Pic 3.3, 3.4 | 3.3 Yama 7, 3.4 Yama 2 | API, yetersiz giriş doğrulaması yoluyla kimliği doğrulanmamış uzaktan kod yürütme |
| CVE-2025-20282 | Yalnızca Ise/Ise-Pic 3.4 | 3.4 Yama 2 | Kök ayrıcalıklarıyla keyfi dosya yürütülmesine izin veren dosya yükleme güvenlik açığı |
| CVE-2025-20337 | Ise/Ise-Pic 3.3, 3.4 | 3.3 Yama 7, 3.4 Yama 2 | API, yetersiz giriş doğrulaması yoluyla kimliği doğrulanmamış uzaktan kod yürütme |
Üç güvenlik açığı, Cisco ISE ve ISE-PIC sistemleri içindeki belirli API’larda yetersiz giriş validasyonundan kaynaklanmaktadır. CVE-2025-20281 ve CVE-2025-20337, hem 3.3 hem de 3.4 sürüm sürümlerini etkilerken, CVE-2025-20282 Yalnızca Etkiler Sürüm 3.4.
En önemlisi, bu kusurlar herhangi bir kimlik doğrulaması gerektirmez, bu da saldırganların bunlardan yararlanmak için geçerli bir kimlik bilgilerine ihtiyaç duymadıkları için onları özellikle tehlikeli hale getirir.
İlk iki güvenlik açığı, kullanıcı tarafından sağlanan girdilerin yetersiz doğrulanması nedeniyle hazırlanmış API istekleri göndererek saldırganların keyfi kod yürütmesine izin verir.
CVE-2025-20282, saldırganların ayrıcalıklı dizinlere keyfi dosyaları yüklemesini ve daha sonra bunları kök ayrıcalıklarıyla yürütmesini sağlayan farklı bir saldırı vektörü sunar.
Bu güvenlik açığı, kritik sistem dizinlerinde normalde kötü amaçlı dosya yerleşimini önleyecek dosya doğrulama kontrollerinin eksikliğini kullanır.
Etkilenen sistemler ve kapsam
Güvenlik açıkları, cihaz yapılandırmasına bakılmaksızın 3.3 ve 3.4’ü serbest bırakır. Sürüm 3.2 veya daha önceki kuruluşlar bu özel güvenlik kusurlarına karşı savunmasız değildir.
ISE’nin birçok kurumsal ortamda kritik bir ağ erişim kontrolü ve politika uygulama platformu olarak hizmet verdiği göz önüne alındığında, yaygın etki potansiyeli önemlidir.
Bu güvenlik açıklarının bağımsız doğası, birinin sömürülmesinin bir başkasının sömürülmesini gerektirmediği ve potansiyel olarak kötü niyetli aktörler için çoklu saldırı vektörleri sağladığı anlamına gelir.
Bu kusurların ağ tarafından erişilebilir doğası, kimlik doğrulanmamış sömürü yetenekleriyle birleştiğinde, etkilenen kuruluşlar için acil bir güvenlik durumu yaratır.
Cisco, mevcut geçici çözümler olmadan her üç güvenlik açıkını da ele almak için yazılım güncellemeleri yayınladı. Şirket, sürüm 3.3 kullanıcıları için sürüm 3.3 Patch 7 veya sürüm 3.4 kullanıcılar için 3.4 Yama 2’ye yükseltilmeyi şiddetle önerir.
Halen Sürüm 3.4 Yama 2’yi çalıştıran kuruluşlar, daha fazla işlem gerektirmezken, 3.3 Yama 6’da olanlar Yama 7’ye yükseltilmelidir.
Özellikle, Cisco daha önce piyasaya sürülen sıcak yamaları (Ise-Apply-cscwo99449_3.0.430_patch4-spa.tar.gz ve ise-apply-cscwo994449_3.4.0.608_patch1-spa.tar.gz) CVE-2025-20337 Bu sıcak yamaları kullanan kuruluşlar tam yama sürümlerine yükseltilmelidir.
Güvenlik açıkları, güvenlik araştırmacıları Bobby Gould tarafından Trend Micro Sıfır Günü Girişimi ve GDO Siber Güvenlik’ten Kentaro Kawane tarafından sorumlu açıklama yoluyla keşfedildi.
Cisco’nun ürün güvenliği olay müdahale ekibi, açıklama sırasında bu güvenlik açıklarının kamusal sömürü veya kötü niyetli kullanımı olduğuna dair hiçbir kanıt bildirmemektedir.
Etkilenen Cisco ISE sistemlerini kullanan kuruluşlar, bu güvenlik açıklarının kritik doğası ve tam sistem uzlaşması potansiyeli nedeniyle derhal yamalamaya öncelik vermelidir.
Canlı kötü amaçlı yazılım davranışını araştırın, bir saldırının her adımını izleyin ve daha hızlı, daha akıllı güvenlik kararlarını alın -> Herhangi birini deneyin. Şimdi