思科修补启用 Root CmdExec 和 PrivEsc 的关键 ISE 漏洞

Cisco 发布了更新，以解决身份服务引擎 （ISE） 的两个关键安全漏洞，这些漏洞可能允许远程攻击者在易受攻击的设备上执行任意命令并提升权限。

漏洞如下：

• CVE-2025-20124（CVSS 评分：9.9）- 思科 ISE API 中存在不安全的 Java 反序列化漏洞，可能允许经过身份验证的远程攻击者在受影响的设备上以 root 用户身份执行任意命令。
• CVE-2025-20125（CVSS 评分：9.1）- 思科 ISE API 中存在一个授权绕过漏洞，可允许具有有效只读凭证的经过身份验证的远程攻击者获取敏感信息、更改节点配置并重新启动节点

攻击者可以通过向未指定的 API 端点发送构建的序列化 Java 对象或 HTTP 请求来将任一缺陷武器化，从而导致权限提升和代码执行。

思科表示，这两个漏洞并不相互依赖，也没有解决方法可以缓解它们。以下版本已解决这些问题：

• 思科 ISE 软件版本 3.0（迁移到固定版本）
• 思科 ISE 软件版本 3.1（在 3.1P10 中修复）
• 思科 ISE 软件版本 3.2（在 3.2P7 中修复）
• 思科 ISE 软件版本 3.3（在 3.3P4 中修复）
• 思科 ISE 软件版本 3.4（不易受攻击）

虽然网络设备巨头公司表示，它不知道任何恶意利用这些漏洞的行为，但建议用户保持他们的系统处于最新状态，以获得最佳保护。

尊敬的读者： 感谢您花时间阅读我们提供的这篇文章。我们非常重视您的时间和精力，并深知信息对您的重要性。 我们希望了解您对这篇文章的看法和感受。我们真诚地想知道您是否认为这篇文章为您带来了有价值的资讯和启示，是否有助于您的个人或职业发展。 如果您认为这篇文章对您非常有价值，并且希望获得更多的相关资讯和服务，我们愿意为您提供进一步的定制化服务。请通过填写我们提供的在线表单，与我们联系并提供您的邮箱地址或其他联系方式。我们将定期向您发送相关资讯和更新，以帮助您更好地了解我们的服务和文章内容。                                扫描二维码，参与调查

原文始发于微信公众号（信息安全大事件）：思科修补启用 Root CmdExec 和 PrivEsc 的关键 ISE 漏洞