Laburpen exekutiboa
Cisco ISE, Cisco ISE-PIC eta Cisco Unified Intelligence Center-en web-eko kudeaketa interfaze eta APIetan ahultasun larri eta ertainak identifikatu dira. Ahultasun hauek eragile urrun eta ez autentifikatu bati aukera ematen diote sistema eragilearen azpiko kode arbitrarioa exekutatzeko root privilegioekin, baliozko kredentzialak behar izan gabe. Gainera, ahultasun bat aurkitu da, eragindako gailu batean fitxategi arbitrarioak igotzeko aukera ematen duena, eta autentifikatutako erasotzaile batek usteko aukera duena. Akats hauek erabiltzaileak emandako sarrera eta igotako fitxategien balioztapen nahikorik gabea direla medio. Ekintza urgentea behar da root privilegioak lortzeko eta kode arbitrarioa exekutatzeko mehatxu hauek arintzeko.
Eragindako baliabideak
- Cisco Identity Services Engine (ISE) (3.3 eta 3.4 bertsioak)
- Cisco ISE Passive Identity Connector (ISE-PIC) (3.3 eta 3.4 bertsioak)
- Cisco Unified Intelligence Center (Packaged Contact Center Enterprise (Packaged CCE), Unified Contact Center Enterprise (Unified CCE) edo Cisco Unified Contact Center Express (Unified CCX) software paketearen barruan erabilitako bertsio guztiak)
Azterketa teknikoa
- CVE-2025-20337: Cisco ISE eta Cisco ISE-PIC-ren API zehatz batean ahultasun bat dago, eta honek eragile urrun eta ez autentifikatu bati aukera ematen dio sistema eragilearen azpiko kode arbitrarioa exekutatzeko root gisa. Eragileak ez du baliozko kredentzialik behar ahultasun hau usteko. Ahultasun hau erabiltzaileak emandako sarrera nahikorik balioztatu ez izanaren ondorioz sortzen da. Eragileak API eskaera manipulatu bat bidaliz ahultasun hau usteko aukera izango luke. Ustekabide arrakastatsua eragileari root privilegioak lortzeko aukera emango lioke eragindako gailu batean.
- CWE-74
- CVSS: 10.0 (kritikoa)
- CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- Ustekabidea: Ez da antzeman
- CVE-2025-20281: Cisco ISE eta Cisco ISE-PIC-ren API zehatz batean ahultasun bat dago, eta honek eragile urrun eta ez autentifikatu bati aukera ematen dio sistema eragilearen azpiko kode arbitrarioa exekutatzeko root gisa. Eragileak ez du baliozko kredentzialik behar ahultasun hau usteko. Ahultasun hau erabiltzaileak emandako informazioa nahikorik balioztatu ez izanaren ondorioz sortzen da. Eragileak API eskaera manipulatu bat bidaliz ahultasun hau usteko aukera izango luke. Ustekabide arrakastatsua eragileari root privilegioak lortzeko aukera emango lioke eragindako gailu batean.
- CWE-74
- CVSS: 10.0 (kritikoa)
- CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- Ustekabidea: Ez da antzeman
- CVE-2025-20282: Cisco ISE eta Cisco ISE-PIC-ren barneko API batean ahultasun bat dago, eta honek eragile urrun eta ez autentifikatu bati aukera ematen dio fitxategi arbitrarioak igotzeko eragindako gailu batera eta sistema eragilearen azpian exekutatzeko root gisa. Ahultasun hau igotako fitxategien balioztapen egiaztapenik ez egotearen ondorioz sortzen da, eta honek eragindako sistemako direktorio pribilegiatuetan fitxategiak kokatzeko aukera ematen du. Eragileak ahultasun hau usteko aukera izango luke fitxategi manipulatu bat igotzen eragindako gailura. Ustekabide arrakastatsua eragileari sistemako fitxategi txarrak biltegitzeko aukera emango lioke eta ondoren kode arbitrarioa exekutatu edo root privilegioak lortu.
- CWE-269
- CVSS: 10.0 (kritikoa)
- CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- Ustekabidea: Ez da antzeman
- CVE-2025-20274: Cisco Unified Intelligence Center-eko web-eko kudeaketa interfazean ahultasun bat dago, eta honek eragile autentifikatu eta urrun bati aukera ematen dio fitxategi arbitrarioak igotzeko eragindako gailu batera. Ahultasun hau web-eko kudeaketa interfazean igotzen diren fitxategiak oker balioztatzearen ondorioz sortzen da. Eragileak ahultasun hau usteko aukera izango luke fitxategi arbitrarioak igotzen eragindako gailura. Ustekabide arrakastatsua eragileari sistemako fitxategi txarrak biltegitzeko aukera emango lioke eta sistema eragilean komando arbitrarioak exekutatzeko. Segurtasunaren Eragineko Balorazioa (SIR) jakinarazpen honen balorazioa handitu egin da, eragileak root privilegioak igotzeko aukera duelako. Ahultasun hau usteko, eragileak baliozko kredentzialak izan behar ditu, gutxienez Txosten Diseinatzailearen rola duen erabiltzaile kontu baterako.
- CWE-434
- CVSS: 6.3 (ertaina)
- CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
- Ustekabidea: Ez da antzeman
Arintzea/Konponbidea
Cisco-k segurtasun abisuak argitaratu ditu Cisco Identity Services Engine (ISE) eta Cisco ISE Passive Identity Connector (ISE-PIC) -en ahultasun larri anitzetaz, eta Cisco Unified Intelligence Center-en bat handiari buruz. Ahultasun hauek arintzeko, softwarea eguneratzea gomendatzen du, zuzendutako bertsioetara. Cisco ISE-ren bertsioa 3.4 Patch 2 bada, ez dira beharrezko ekintza gehiago. 3.3 Patch 6 bertsioa exekutatzen ari bada, 3.3 Patch 7 bertsiora eguneratu beharko da. Cisco ISE-ren bertsioak hot patch ise-apply-CSCwo99449_3.3.0.430_patch4-SPA.tar.gz edo hot patch ise-apply-CSCwo99449_3.4.0.608_patch1-SPA.tar.gz izenekoak dituztenak, 3.3 Patch 7 edo 3.4 Patch 2 bertsiora eguneratzea gomendatzen da. Cisco Unified Intelligence Center-eko ahultasunari dagokionez, fabrikatzaileak egokiak diren bertsio finketara eguneratzea gomendatzen du. 12.5 eta 12.6 bertsioetarako, 12.5(1) SU ES05 eta 12.6(2) ES05 bertsioak behar dira, hurrenez hurren. Cisco Unified CCX-ren 12.5(1)SU3 bertsioa eta aurrekoak direnentzat, bertsio finkatu batera migratzea gomendatzen da. Berriro, azpimarratu nahi dute ez dagoela ahultasun hauetarako konponbide alternatiborik.