思科發(fā)布了一份公告，對(duì)影響思科身份服務(wù)引擎（ISE）和被動(dòng)身份連接器（ISE- pic）的兩個(gè)關(guān)鍵、未經(jīng)身份驗(yàn)證的遠(yuǎn)程代碼執(zhí)行（RCE）漏洞進(jìn)行了告警。

根據(jù) CVE-2025-20281 和 CVE-2025-20282 跟蹤的漏洞被評(píng)為最大嚴(yán)重程度（CVSS 評(píng)分：10.0）。第一個(gè)影響 ISE 和 ISE- pic 版本 3.4 和 3.3，而第二個(gè)只影響 3.4 版本。

CVE-2025-20281 的根本原因是對(duì)特定暴露的 API 中用戶提供的輸入驗(yàn)證不足。這允許未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者發(fā)送特制的 API 請(qǐng)求，以 root 用戶的身份執(zhí)行任意操作系統(tǒng)命令。

第二個(gè)問(wèn)題，CVE-2025-20282，是由于內(nèi)部 API 中的文件驗(yàn)證不佳導(dǎo)致的，允許將文件寫(xiě)入特權(quán)目錄。該漏洞允許未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者將任意文件上傳到目標(biāo)系統(tǒng)，并以 root 權(quán)限執(zhí)行它們。

思科身份服務(wù)引擎（ISE）是一個(gè)網(wǎng)絡(luò)安全策略管理和訪問(wèn)控制平臺(tái)，用于組織管理其網(wǎng)絡(luò)連接，作為網(wǎng)絡(luò)訪問(wèn)控制（NAC）、身份管理和策略實(shí)施工具。該產(chǎn)品通常由大型企業(yè)、政府組織、大學(xué)和服務(wù)提供商使用，位于企業(yè)網(wǎng)絡(luò)的核心。

此次影響它的兩個(gè)漏洞可以在沒(méi)有任何身份驗(yàn)證或用戶交互的情況下完全破壞和完全遠(yuǎn)程接管目標(biāo)設(shè)備。

思科在公告中指出，它不知道有任何針對(duì)這兩個(gè)漏洞的主動(dòng)利用案例，但應(yīng)該優(yōu)先安裝新的更新。建議用戶升級(jí)到 3.3 Patch 6 （ise-apply-CSCwo99449_3.3.0.430_patch4）和 3.4 Patch 2 （ise-apply-CSCwo99449_3.4.0.608_patch1）及以上版本。沒(méi)有提供緩解這些漏洞的解決方案，因此建議使用安全更新。

思科還發(fā)布了一份關(guān)于中等嚴(yán)重性身份驗(yàn)證繞過(guò)漏洞的單獨(dú)公告，追蹤為 CVE-2025-20264，該漏洞也會(huì)影響 ISE。

該漏洞是由于對(duì)通過(guò)與外部身份提供程序集成的 SAML SSO 創(chuàng)建的用戶的授權(quán)實(shí)施不足造成的。具有有效 SSO 身份驗(yàn)證憑證的攻擊者可以發(fā)送特定的命令序列來(lái)修改系統(tǒng)設(shè)置或執(zhí)行系統(tǒng)重啟。

CVE-2025-20264 影響所有版本的 ISE，直到 3.4Patch。3.4 Patch 2 和 3.3 Patch 5 提供了修復(fù)程序。供應(yīng)商承諾通過(guò) 3.2 Patch 8 修復(fù)該漏洞，該補(bǔ)丁計(jì)劃于 2025 年 11 月發(fā)布，以解決 3.2 版本的問(wèn)題。