【漏洞预警】Cisco 旗下身分识别服务存在二个重大资安漏洞

转发 台湾电脑网路危机处理暨协调中心 TWCERTCC-200-202506-00000018

Cisco 旗下身分识别服务引擎(Identity Services Engine，ISE)是一款基于身分的安全管理平台，可从网路、使用者设备收集资讯，并在网路基础设施中实施策略和制定监管决策。前日Cisco发布重大资安漏洞公告(CVE-2025-20281，CVSS：9.8 和 CVE-2025-20282，CVSS：10.0)并释出更新版本。

【CVE-2025-20281，CVSS：9.8】 此漏洞存在于Cisco ISE 和 Cisco ISE-PIC的特定API，攻击者无需任何有效凭证即可利用此漏洞。允许未经身分验证的远端攻击者以root身分在底层作业系统上执行任意程式码。

【CVE-2025-20282，CVSS：10.0】 此漏洞存在于Cisco ISE 和 Cisco ISE-PIC的内部API，允许未经身分验证的远端攻击者将任意档案上传至受影响的设备，以root身分在底层作业系统执行档案。

情资分享等级: WHITE(情资内容为可公开揭露之资讯)

烦请贵单位协助转发与通知辖下各单位知悉

【CVE-2025-20281】 Cisco ISE 和 ISE-PIC 3.3、3.4版本【CVE-2025-20282】 Cisco ISE 和 ISE-PIC 3.4版本

根据官方网站释出解决方式进行修补：https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-unauth-rce-ZAd2GnJ6