Aviso de seguridad
Nivel de peligrosidad: Crítico
Descripción
Se han identificado nuevas vulnerabilidades en varios productos de Cisco Identity Services Engine (ISE) y Cisco ISE Passive Identity Connector (ISE-PIC), incluidas dos de severidad crítica. Estas fallas podrían permitir la ejecución de comandos arbitrarios y el acceso no autorizado a información sensible.
Las vulnerabilidades se enumeran a continuación:
CVE-2025-20124:Puntuación CVSS 9.9. una vulnerabilidad de deserialización de Java insegura en una API de Cisco ISE que podría permitir a un atacante remoto autenticado ejecutar comandos arbitrarios como usuario root en un dispositivo afectado.
CVE-2025-20125:Puntuación CVSS 9.1 una vulnerabilidad de omisión de autorización en una API de Cisco ISE podría permitir que un atacante remoto autenticado con credenciales válidas de solo lectura obtenga información confidencial, cambie las configuraciones del nodo y reinicie el nodo.
Recursos afectados
- Versión 3.0 del software Cisco ISE
- Versión 3.1 del software Cisco ISE
- Versión 3.2 del software Cisco ISE
- Versión 3.3 del software Cisco ISE
- Versión 3.4 del software Cisco ISE
Solución
Actualizar los productos afectados a la última versión disponible desde la web oficial del fabricante.
- Versión 3.0 del software Cisco ISE (migrar a una versión corregida)
- Versión 3.1 del software Cisco ISE (corregida en 3.1P10)
- Versión 3.2 del software Cisco ISE (corregida en 3.2P7)
- Versión 3.3 del software Cisco ISE (corregida en 3.3P4)
- Versión 3.4 del software Cisco ISE (no vulnerable)
Recomendaciones
Actualizar los productos afectados a una versión que mitigue la vulnerabilidad.