Kwetsbaarheden ontdekt in Cisco Identity Services Engine
Cisco heeft recentelijk een kritieke beveiligingswaarschuwing uitgegeven betreffende meerdere kwetsbaarheden in zijn Identity Services Engine (ISE) en ISE Passive Identity Connector (ISE-PIC) producten. Deze kwetsbaarheden, die een CVSS-score van 10.0 (kritiek) hebben gekregen, kunnen een ongeauthenticeerde, externe aanvaller in staat stellen commando's uit te voeren op het onderliggende besturingssysteem met root-gebruikersrechten.
De kwetsbaarheden, geïdentificeerd met de CVE-ID's CVE-2025-20281, CVE-2025-20282 en CVE-2025-20337, vormen een ernstig risico voor organisaties die gebruik maken van Cisco ISE voor hun netwerktoegangsbeheer en beleidshandhaving. Er zijn geen tijdelijke oplossingen (workarounds) beschikbaar, wat het risico nog groter maakt.
Details van de kwetsbaarheden:
- CVE-2025-20281 en CVE-2025-20337: Deze kwetsbaarheden treffen Cisco ISE en ISE-PIC releases 3.3 en 3.4, ongeacht de configuratie van het apparaat. Eerdere versies, zoals Release 3.2 of ouder, worden niet getroffen.
- CVE-2025-20282: Deze specifieke kwetsbaarheid is alleen van toepassing op Cisco ISE en ISE-PIC Release 3.4, eveneens ongeacht de configuratie. Versies 3.3 en ouder worden hierdoor niet beïnvloed.
Oplossingen en aanbevelingen:
Cisco heeft software-updates uitgebracht om deze kritieke kwetsbaarheden aan te pakken. Organisaties wordt dringend geadviseerd om zo snel mogelijk te upgraden naar de aanbevolen, verbeterde 'fixed releases'.
De aanbevolen acties zijn als volgt:
- Voor Cisco ISE met Release 3.4 Patch 2: Geen verdere actie is noodzakelijk, aangezien deze versie de fixes al bevat.
- Voor Cisco ISE met Release 3.3 Patch 6: Aanvullende fixes zijn beschikbaar in Release 3.3 Patch 7. Apparaten moeten worden geüpgraded naar deze versie.
- Voor Cisco ISE met hot patch 'ise-apply-CSCwo99449_3.3.0.430_patch4-SPA.tar.gz' of 'ise-apply-CSCwo99449_3.4.0.608_patch1-SPA.tar.gz' geïnstalleerd: Cisco raadt aan te upgraden naar Release 3.3 Patch 7 of Release 3.4 Patch 2. Deze hot patches hebben CVE-2025-20337 niet volledig aangepakt en zijn intussen teruggetrokken van Cisco.com (CCO).
De beveiligingswaarschuwing is voor het eerst gepubliceerd op 25 juni 2025 en voor het laatst bijgewerkt op 21 juli 2025. Cisco benadrukt dat er geen workarounds beschikbaar zijn en dat een upgrade de enige effectieve manier is om de kwetsbaarheden te mitigeren.
Organisaties worden geadviseerd de officiële Cisco Security Advisory (cisco-sa-ise-unauth-rce-ZAd2GnJ6) te raadplegen voor de meest actuele informatie en gedetailleerde instructies. Deze is beschikbaar via de volgende link: https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-unauth-rce-ZAd2GnJ6.
Deze ontwikkeling onderstreept het voortdurende belang van proactief beveiligingsbeheer en het tijdig toepassen van updates om potentiële aanvallen te voorkomen.
Meer over Security
Over Witold Kepinski
