Fecha de publicación: Lun, 10/02/2025 - 18:25

Aviso de seguridad

Nivel de peligrosidad: Crítico

Descripción

Se han identificado nuevas vulnerabilidades en varios productos de Cisco Identity Services Engine (ISE) y Cisco ISE Passive Identity Connector (ISE-PIC), incluidas dos de severidad crítica. Estas fallas podrían permitir la ejecución de comandos arbitrarios y el acceso no autorizado a información sensible.

Las vulnerabilidades se enumeran a continuación:

CVE-2025-20124:Puntuación CVSS 9.9. una vulnerabilidad de deserialización de Java insegura en una API de Cisco ISE que podría permitir a un atacante remoto autenticado ejecutar comandos arbitrarios como usuario root en un dispositivo afectado.

CVE-2025-20125:Puntuación CVSS 9.1 una vulnerabilidad de omisión de autorización en una API de Cisco ISE podría permitir que un atacante remoto autenticado con credenciales válidas de solo lectura obtenga información confidencial, cambie las configuraciones del nodo y reinicie el nodo.

Recursos afectados

  • Versión 3.0 del software Cisco ISE
  • Versión 3.1 del software Cisco ISE
  • Versión 3.2 del software Cisco ISE
  • Versión 3.3 del software Cisco ISE
  • Versión 3.4 del software Cisco ISE

Solución

Actualizar los productos afectados a la última versión disponible desde la web oficial del fabricante.

  • Versión 3.0 del software Cisco ISE (migrar a una versión corregida)
  • Versión 3.1 del software Cisco ISE (corregida en 3.1P10)
  • Versión 3.2 del software Cisco ISE (corregida en 3.2P7)
  • Versión 3.3 del software Cisco ISE (corregida en 3.3P4)
  • Versión 3.4 del software Cisco ISE (no vulnerable)

    Recomendaciones

    Actualizar los productos afectados a una versión que mitigue la vulnerabilidad.

    Referencias

    NVD

    NVD_20125