Kriittisiä haavoittuvuuksia Cisco Identity Services Engine- ja Cisco ISE Passive Identity Connector -tuotteissa

Haavoittuvuudet koskevat Cisco Identity Services Engine (ISE) - ja Cisco ISE Passive Identity Connector (ISE-PIC) -tuotteita.

• CVE-2025-20281 vaikuttaa Cisco ISE- ja ISE-PIC- versioihin 3.3 ja uudempiin, laitteen kokoonpanosta riippumatta. Se ei vaikuta versioon 3.2 tai sitä vanhempiin versioihin.
• CVE-2025-20282 vaikuttaa vain Cisco ISE- ja ISE-PIC -versioihin 3.4, laitteen kokoonpanosta riippumatta. Se ei vaikuta versioon 3.2 tai sitä vanhempiin versioihin. 

Cisco Identity Services Engine (ISE) - ja Cisco ISE Passive Identity Connector (ISE-PIC) -laitteissa on havaittu kaksi kriittistä haavoittuvuutta CVE-2025-20281 ja CVE-2025-20282. Hyökkääjä voi hyödyntää haavoittuvuuksia suorittaakseen mielivaltaista koodia etänä ilman kirjautumista. Hyökkääjä voi suorittaa koodia järjestelmän taustalla pääkäyttäjän (root) oikeuksilla.

• CVE-2025-20281 on Cisco ISE:n ja Cisco ISE-PIC:n ohjelmointirajapinnan haavoittuvuus, jonka avulla todentamaton hyökkääjä voi etänä suorittaa mielivaltaista koodia käyttöjärjestelmässä pääkäyttäjänä. Hyökkääjä ei tarvitse voimassa olevia tunnistetietoja hyödyntääkseen tätä haavoittuvuutta.
• CVE-2025-20282 on Cisco ISE:n ja Cisco ISE-PIC:n sisäisen ohjelmointirajapinnan haavoittuvuus, minkä avulla todentamattoman hyökkääjä voi ladata etänä mielivaltaisia tiedostoja haavoittuvalle laitteelle ja suorittaa kyseiset tiedostot käyttöjärjestelmässä root-käyttäjänä.

Nämä haavoittuvuudet eivät ole riippuvaisia toisistaan. Yhden haavoittuvuuden hyväksikäyttöä ei vaadita toisen hyödyntämiseen.

Haavoittuvuus koskee organisaatioita, jotka käyttävät kyseistä tuotetta.

Valmistaja on julkaissut haavoittuvuuksiin korjaavan päivityksen. Päivittämistä suositellaan välittömästi.

Lisätietoja valmistajan tiedotteessa: Cisco Identity Services Engine Unauthenticated Remote Code Execution Vulnerabilities (Ulkoinen linkki)