2025-1708: Cisco Identity Services Engine: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes mit Administratorrechten

Historie:

Version 1 (2025-06-26 12:15): Neues Advisory

Betroffene Software

Netzwerk
Sicherheit

Betroffene Plattformen

Hardware
Cisco

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Sicherheitsvorkehrungen zu umgehen und beliebigen Programmcode mit den Rechten des Administrators auszuführen.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich: CVE-2025-20281 und CVE-2025-20282 lassen sich ohne Authentifizierung ausnutzen, während CVE-2025-20264 eine über SAML-SSO angelegte, authentisierte Sitzung voraussetzt.

Die Schwachstelle CVE-2025-20282 betrifft ausschließlich Cisco ISE/ISE-PIC-Release 3.4, wohingegen CVE-2025-20281 die Releases 3.3 und 3.4 betrifft; frühere Versionen sind hiervon nicht betroffen. Zur Behebung von CVE-2025-20281 und CVE-2025-20282 steht im Versionszweig 3.3 das Sicherheitsupdate 3.3 Patch 6 und im Versionszweig 3.4 das Sicherheitsupdate 3.4 Patch 2 bereit.

Die Schwachstelle CVE-2025-20264 wird im Versionszweig 3.3 durch 3.3 P5 und im Versionszweig 3.4 durch 3.4 P2 behoben, für den Versionszweig 3.2 ist 3.2 P8 für November 2025 angekündigt, während 3.1 und früher auf eine fehlerbereinigte Version migriert werden müssen.

Schwachstellen:

CVE-2025-20264

Schwachstelle in Cisco Identity Services Engine ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2025-20281

Schwachstelle in Cisco Identity Services Engine ermöglicht Ausführen beliebigen Programmcodes mit Administratorrechten

CVE-2025-20282