Cisco kritikus javítás
A Cisco ajánlása szerint a CVE‑2025‑20286 jelű sérülékenység kritikus kockázatot jelent a Cisco Identity Services Engine (ISE) felhőalapú telepítéseinél. A hiba abból adódik, hogy az AWS, Azure és Oracle Cloud Infrastructure (OCI) környezetekben az ISE rendszerek statikus, platform- és verzió-specifikus hitelesítő adatokat generálnak – vagyis több telepítés esetében ugyanazoknak a hitelesítő adatoknak a kombinációja használatos, ami lehetővé teszi, hogy egy támadó egyetlen instanciáról leváltsa a hitelesítő adatokat, majd hozzáférjen bármely más, azonos verziójú ISE telepítéshez ugyanazon a felhőplatformon
A hiba súlyossági mutatója 9,9‑es, tehát maximális, miközben már elérhető hozzá a nyilvános PoC exploit is. Ezzel a támadó nem csak érzékeny adatokhoz férhet hozzá, de korlátozott rendszergazdai műveleteket is végrehajthat, konfigurációkat módosíthat és akár szolgáltatások leállítására is képes lehet.
A Cisco már kiadta a javításokat valamint bejelentette, hogy a 3.5-ös verzióban (2025. augusztus) és a 3.3P8 illetve 3.4P3 javításokban stabil alapon is megoldják a problémát. A javítás bevezetése mellett ideiglenes intézkedésként ajánlott a hozzáférés csak megbízható IP‑címekre korlátozása, valamint a application reset-config ise parancs futtatása, amely új hitelesítő adatokat generál – bár ennek következtében a rendszer visszaáll alapbeállításokra
A Cisco ezen túlmenően két közepesen súlyos sebezhetőséget is javított – CVE‑2025‑20130 (fájlfeltöltési hiba az ISE/I‑PIC modulban) és CVE‑2025‑20129 (információszivárgás a Customer Collaboration Platformban) – amelyekhez szintén elérhető PoC.
