2025-1708: Cisco Identity Services Engine: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes mit Administratorrechten

Historie:

Version 1 (2025-06-26 12:15): Neues Advisory
Version 2 (2025-07-17 15:25): Der Hersteller hat den Sicherheitshinweis cisco-sa-ise-unauth-rce-ZAd2GnJ6 um die Schwachstelle CVE-2025-20337 ergänzt sowie mit cisco-sa-ise-multi-3VpsXOxO Informationen zu drei weiteren Schwachstellen veröffentlicht. Die Schwachstellen erlauben es ebenfalls einem Angreifer aus der Ferne beliebigen Programmcode mit 'root'-Rechten auszuführen und Sicherheitsvorkehrungen zu umgehen. Die Schwachstellen werden mit den Cisco ISE/ISE-PIC Versionen 3.3 Patch 7 und 3.4 Patch 2 behoben.
Version 3 (2025-07-22 13:35): Cisco hat den Sicherheitshinweis cisco-sa-ise-unauth-rce-ZAd2GnJ6 aktualisiert. Das CISCO PSIRT hat seit Juli 2025 Angriffe beobachtet, womit der Versuch unternommen wurde, einige der Schwachstellen auszunutzen. Es wird dringend empfohlen, die Sicherheitsupdates umgehend einzuspielen.
Version 4 (2025-07-29 10:38): Cisco hat den Sicherheitshinweis cisco-sa-ise-unauth-rce-ZAd2GnJ6 aktualisiert und benennt nun konkret die Schwachstellen CVE-2025-20281 und CVE-2025-20337 im Kontext der Angriffsversuche. Die CYBERSECURITY & INFRASTRUCTURE SECURITY AGENCY (CISA) hat die Schwachstellen CVE-2025-20281 und CVE-2025-20337 in ihren 'Known Exploited Vulnerabilities Catalog' aufgenommen.

Betroffene Software

Netzwerk
Sicherheit

Betroffene Plattformen

Hardware
Cisco

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Sicherheitsvorkehrungen zu umgehen und beliebigen Programmcode mit den Rechten des Administrators auszuführen.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich: CVE-2025-20281 und CVE-2025-20282 lassen sich ohne Authentifizierung ausnutzen, während CVE-2025-20264 eine über SAML-SSO angelegte, authentisierte Sitzung voraussetzt.

Die Schwachstelle CVE-2025-20282 betrifft ausschließlich Cisco ISE/ISE-PIC-Release 3.4, wohingegen CVE-2025-20281 die Releases 3.3 und 3.4 betrifft; frühere Versionen sind hiervon nicht betroffen. Zur Behebung von CVE-2025-20281 und CVE-2025-20282 steht im Versionszweig 3.3 das Sicherheitsupdate 3.3 Patch 6 und im Versionszweig 3.4 das Sicherheitsupdate 3.4 Patch 2 bereit.

Die Schwachstelle CVE-2025-20264 wird im Versionszweig 3.3 durch 3.3 P5 und im Versionszweig 3.4 durch 3.4 P2 behoben, für den Versionszweig 3.2 ist 3.2 P8 für November 2025 angekündigt, während 3.1 und früher auf eine fehlerbereinigte Version migriert werden müssen.

Schwachstellen:

CVE-2025-20264

Schwachstelle in Cisco Identity Services Engine ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2025-20281 CVE-2025-20337

Schwachstellen in Cisco Identity Services Engine ermöglichen Ausführen beliebigen Programmcodes mit Administratorrechten

CVE-2025-20282

Schwachstelle in Cisco Identity Services Engine ermöglicht Ausführen beliebigen Programmcodes mit Administratorrechten

CVE-2025-20283 CVE-2025-20284