2025年(nian)6月27日，思科緊急發布安全公告，披露其核心身份(fen)認證平臺——Cisco Identity Services Engine（ISE）存在(zai)兩處高危遠(yuan)程(cheng)代碼執行（RCE）漏洞，CVSS評分雙雙達到滿分10.0！攻(gong)擊(ji)者無(wu)需(xu)認證即可遠(yuan)程(cheng)控(kong)制設(she)備，直(zhi)接以(yi)root權限執行任意代碼，企業網(wang)絡瞬(shun)間淪為(wei)“透(tou)明玻璃屋”。
0
漏(lou)洞詳情(qing)：兩枚(mei)“核彈級”漏(lou)洞的致命殺傷
1
1、CVE-2025-20281：API接(jie)口的“無鎖之門”
影響版(ban)本：ISE/ISE-PIC 3.3及以上版(ban)本
漏洞(dong)原理：攻擊者通過發送特制API請求，繞過身份驗證，直接在底層操(cao)作(zuo)系統執行(xing)(xing)命令。漏洞(dong)源于輸(shu)入(ru)驗證缺失，相當(dang)于給攻擊者發了一張“萬能(neng)通行(xing)(xing)證”。
攻擊(ji)場景：攻擊(ji)者(zhe)僅需網絡(luo)訪(fang)問權限，即可植(zhi)入惡(e)意代碼、竊取敏感數據，甚至將企業(ye)網絡(luo)變為(wei)跳(tiao)板，橫向滲透(tou)至其他系統。
影(ying)響版本(ben)：ISE/ISE-PIC 3.4版本(ben)
漏洞原理(li)：文件上傳(chuan)功(gong)能(neng)缺乏驗證，攻擊者可上傳(chuan)惡意(yi)文件至特權目錄，并以root權限執(zhi)行。這(zhe)相(xiang)當于(yu)將企業(ye)核心設備的“鑰匙”交給了黑客(ke)。
攻擊(ji)場(chang)景：攻擊(ji)者上傳后門程序(xu)，長期潛伏監(jian)控，或直接篡改配(pei)置(zhi)，導致認證系(xi)統崩潰(kui)，引發(fa)業(ye)務中斷。
2、CVE-20282：文件上傳(chuan)的“致命陷阱(jing)”
0
攻擊鏈推演(yan)：從(cong)漏洞(dong)到淪陷只需(xu)三步
2
1、偵察：攻(gong)擊者通過掃描工具定位暴露(lu)在(zai)公網(wang)的ISE設備。
2、利用：通過CVE-2025-20281或CVE-20282漏洞，上傳惡意腳本(ben)或直接執行命令。
3、持久化：植入后門、修改日(ri)志、竊(qie)取(qu)憑證，甚至(zhi)將設備(bei)納(na)入僵尸網絡(luo)。
0
企業如何自救？補丁與應急(ji)方案雙(shuang)管齊下
3
; 1、立即升級(ji)補丁(ding)
ISE 3.4 → 補(bu)丁2（同上）
ISE 3.3 → 補丁6（ise-apply-CSCwo99449_3.3.0.430_patch4-SPA.tar.gz）
ISE 3.4 → 補丁2（ise-apply-CSCwo99449_3.4.0.608_patch1-SPA.tar.gz）
CVE-2025-20281：
CVE-2025-20282：
網絡隔離：限制ISE設備的公網暴露，僅允許(xu)可信IP訪問管(guan)理接(jie)口。
日志(zhi)監控：啟用實(shi)時日志(zhi)分析，關注異常API請求或文件(jian)上傳行為。
最小權限原則(ze)：臨時(shi)禁用(yong)非必要API接口(kou)，降低攻擊面。
2、臨時(shi)緩解措施
0
歷史教訓：思科漏洞(dong)為何屢成(cheng)“重災區”
4
2025年2月(yue)：ISE曾曝出CVE-2025-20124（CVSS 9.9）漏洞(dong)，攻擊者通過Java反序列化漏洞(dong)以root權限(xian)執行命令。
2023年5月：Small Business系列交換機存在4個高危RCE漏洞（CVSS 9.8），部分型號因生命周期終止無補丁可用。
2020年11月：ISE的Active Directory集成漏洞允許本地攻擊者提權至root。
0
結語：安全沒有“后悔藥(yao)”，唯有主動防(fang)御
5
在APT攻擊日益猖獗的今天，一個未打補丁的漏洞可能讓企業數年安全投入付諸東流。立即行動，升級補丁、加固網絡、培訓員工——這才是抵御“10.0分漏洞”的最佳防線。
END
