- شناسه CVE-2025-20337 :CVE
- CWE-74 :CWE
- yes :Advisory
- منتشر شده: جولای 16, 2025
- به روز شده: جولای 16, 2025
- امتیاز: 10
- نوع حمله: Remote code execution(RCE)
- اثر گذاری: Arbitrary code execution(ACE)
- حوزه: تجهیزات شبکه و امنیت
- برند: Cisco
- محصول: Cisco ISE
- وضعیتPublished :CVE
- No :POC
- وضعیت آسیب پذیری: patch شده
چکیده
یک آسیب‌پذیری بحرانی در API خاص Cisco ISE و Cisco ISE-PIC شناسایی شده است. این آسیب پذیری به مهاجم با سطح دسترسی بالا امکان اجرای کد دلخواه با سطح دسترسی root از راه دور را می‌دهد.
توضیحات
این آسیب پذیری به دلیل اعتبارسنجی ناکافی ورودی‌های کاربر (CWE-74) در API نظارتی ایجاد شده و به مهاجم بدون نیاز به احراز هویت اجازه می‌دهد با ارسال درخواست API دستکاری‌شده، کد دلخواه را با سطح دسترسی root روی سیستم اجرا کند. این آسیب‌پذیری ناشی از یک ضعف در فرآیند deserialization در API نظارتی بوده و به مهاجم امکان دسترسی کامل به زیرساخت شبکه را می‌دهد که این موضوع می‌تواند دستگاه‌های امنیتی را به پایگاه‌های حمله تبدیل کند. این آسیب پذیری بر محرمانگی، یکپارچگی و در دسترس پذیری سیستم تأثیر می‌گذارد. بهره‌برداری نیازی به تعامل کاربر ندارد، بلکه با توجه به پیچیدگی پایین و عدم نیاز به احراز هویت، ریسک بسیار بالایی دارد. طبق گزارش Cisco در جولای 2025، تلاش‌هایی برای سوءاستفاده از این آسیب پذیری در محیط واقعی مشاهده شده است. شرکت Cisco پچ های امنیتی لازم برای نسخه های آسیب پذیر را منتشر کرده است.
CVSS
| Score | Severity | Version | Vector String |
| 10.0 | CRITICAL | 3.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
لیست محصولات آسیب پذیر
| Versions | Product |
| affected at 3.3.0
affected at 3.3 Patch 2 affected at 3.3 Patch 1 affected at 3.3 Patch 3 affected at 3.4.0 affected at 3.3 Patch 4 affected at 3.4 Patch 1 affected at 3.3 Patch 5 affected at 3.3 Patch 6 |
Cisco Identity Services Engine Software |
| affected at 3.2.0
affected at 3.1.0 affected at 3.3.0 affected at 3.4.0 |
Cisco ISE Passive Identity Connector |
لیست محصولات بروز شده
| Versions | Product |
| 3.3 Patch 7
3.4 Patch 2 |
Cisco Identity Services Engine Software |
| 3.3 Patch 7
3.4 Patch 2 |
Cisco ISE Passive Identity Connector |
نتیجه گیری
با توجه به بحرانی بودن این آسیب‌پذیری و در دسترس بودن کد اکسپلویت، سازمان‌ها باید در اسرع وقت دستگاه‌های Cisco ISE و ISE-PIC خود را به نسخه‌های امن به روزرسانی کنند. همچنین پیشنهاد می‌شود دسترسی به APIها و رابط مدیریتی محدود به شبکه داخلی و کنترل‌شده باشد، از فایروال و ACL برای ایزوله‌سازی ترافیک حساس استفاده شود، بررسی لاگ‌ها جهت تشخیص فعالیت‌های مشکوک انجام گیرد و مانیتورینگ جهت جلوگیری از تهدیدات انجام شود.
منابع
- https://www.cve.org/CVERecord?id=CVE-2025-20337
- https://www.cvedetails.com/cve/CVE-2025-20337/
- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-unauth-rce-ZAd2GnJ6
- https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-20337
- https://vuldb.com/?id.316686
- https://nvd.nist.gov/vuln/detail/CVE-2025-20337
- https://github.com/barbaraeivyu/CVE-2025-20337-EXP
- https://cwe.mitre.org/data/definitions/74.html
