Resumen ejecutivo
Se han identificado varias vulnerabilidades críticas y de gravedad media en las APIs y la interfaz de gestión basada en web de Cisco ISE, Cisco ISE-PIC y Cisco Unified Intelligence Center. Estas vulnerabilidades podrían permitir a un atacante remoto y no autenticado ejecutar código arbitrario en el sistema operativo subyacente con privilegios de root, sin necesidad de credenciales válidas. También se ha encontrado una debilidad que permite la subida de archivos arbitrarios a un dispositivo afectado que puede ser explotada por un atacante autenticado. Estas fallos se deben a una validación insuficiente tanto de la entrada suministrada por el usuario como de los archivos subidos. Se requiere acción urgente para mitigar estas amenazas que podrían resultar en la obtención de privilegios de root y en la ejecución de código arbitrario.
Recursos afectados
- Motor de Servicios de Identidad de Cisco (ISE) (versiones 3.3 y 3.4)
- Conector de Identidad Pasiva de Cisco ISE (ISE-PIC) (versiones 3.3 y 3.4)
- Centro de Inteligencia Unificada de Cisco (todas las versiones utilizadas junto con Packaged Contact Center Enterprise (Packaged CCE), Unified Contact Center Enterprise (Unified CCE) o incluido en el paquete de software de Cisco Unified Contact Center Express (Unified CCX))
Análisis técnico
- CVE-2025-20337: Una vulnerabilidad en una API específica de Cisco ISE y Cisco ISE-PIC podría permitir a un atacante remoto no autenticado ejecutar código arbitrario en el sistema operativo subyacente como root. El atacante no requiere ninguna credencial válida para explotar esta vulnerabilidad. Esta vulnerabilidad se debe a una validación insuficiente de la entrada suministrada por el usuario. Un atacante podría explotar esta vulnerabilidad enviando una solicitud de API manipulada. Un exploit exitoso podría permitir al atacante obtener privilegios de root en un dispositivo afectado.
- CWE-74
- CVSS: 10.0 (crítica)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2025-20281: Una vulnerabilidad en una API específica de Cisco ISE y Cisco ISE-PIC podría permitir que un atacante remoto no autenticado ejecute código arbitrario en el sistema operativo subyacente como root. El atacante no necesita credenciales válidas para explotar esta vulnerabilidad. Esta vulnerabilidad se debe a una validación insuficiente de la información proporcionada por el usuario. Un atacante podría explotar esta vulnerabilidad enviando una solicitud de API manipulada. Una explotación exitosa podría permitirle obtener privilegios de root en un dispositivo afectado.
- CWE-74
- CVSS: 10.0 (crítica)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2025-20282: Una vulnerabilidad en una API interna de Cisco ISE y Cisco ISE-PIC podría permitir que un atacante remoto no autenticado suba archivos arbitrarios a un dispositivo afectado y los ejecute en el sistema operativo subyacente como root. Esta vulnerabilidad se debe a la falta de comprobaciones de validación de archivos que impedirían que los archivos subidos se coloquen en directorios privilegiados en un sistema afectado. Un atacante podría explotar esta vulnerabilidad subiendo un archivo manipulado al dispositivo afectado. Una explotación exitosa podría permitirle almacenar archivos maliciosos en el sistema afectado y luego ejecutar código arbitrario u obtener privilegios de root.
- CWE-269
- CVSS: 10.0 (crítica)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2025-20274: Una vulnerabilidad en la interfaz de gestión basada en web del Cisco Unified Intelligence Center podría permitir a un atacante autenticado y remoto subir archivos arbitrarios a un dispositivo afectado. Esta vulnerabilidad se debe a una validación incorrecta de los archivos que se suben a la interfaz de gestión basada en web. Un atacante podría explotar esta vulnerabilidad subiendo archivos arbitrarios a un dispositivo afectado. Un exploit exitoso podría permitir al atacante almacenar archivos maliciosos en el sistema y ejecutar comandos arbitrarios en el sistema operativo. La Calificación del Impacto de Seguridad (SIR) de este aviso se ha elevado a Alto porque un atacante podría elevar privilegios a root. Para explotar esta vulnerabilidad, el atacante debe tener credenciales válidas para una cuenta de usuario con al menos el rol de Diseñador de Informes.
- CWE-434
- CVSS: 6.3 (media)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
- Explotación: No detectada
Mitigación / Solución
Cisco ha emitido avisos de seguridad sobre múltiples vulnerabilidades críticas en Cisco Identity Services Engine (ISE) y Cisco ISE Passive Identity Connector (ISE-PIC), y una alta en Cisco Unified Intelligence Center. Para mitigar estas vulnerabilidades, recomienda actualizar el software a las versiones que han sido parcheadas. Si la versión de Cisco ISE es 3.4 Patch 2, no se requieren acciones adicionales. Si se está ejecutando la versión 3.3 Patch 6, se deberá actualizar a la versión 3.3 Patch 7. Si la versión de Cisco ISE tiene los parches denominados hot patch ise-apply-CSCwo99449_3.3.0.430_patch4-SPA.tar.gz o hot patch ise-apply-CSCwo99449_3.4.0.608_patch1-SPA.tar.gz, se recomienda actualizar a la versión 3.3 Patch 7 o a la versión 3.4 Patch 2. En relación a la vulnerabilidad en Cisco Unified Intelligence Center, el fabricante recomienda actualizar a las versiones fijas adecuadas. Para las versiones 12.5 y 12.6, se requieren las versiones 12.5(1) SU ES05 y 12.6(2) ES05, respectivamente. Para la versión 12.5(1)SU3 y anteriores de Cisco Unified CCX, se recomienda migrar a una versión fija. Nuevamente, aclaran que no hay soluciones alternativas disponibles para estas vulnerabilidades.