思科（Cisco）近日發布緊(jin)急(ji)安全公告，修復了身份服務引擎（Identity Services Engine, ISE）及ISE-PIC（Passive Identity Connector）中(zhong)的一個CVSS 10分高(gao)危漏洞，編號CVE-2025-20337。該漏洞允許未經(jing)身份驗證的遠程攻擊者通(tong)過構造惡意API請(qing)求，在目標系統(tong)上以root權(quan)限執行任(ren)意代碼，完全控制設備。
01 漏洞詳情 根據思科技術公告，CVE-2025-20337源于ISE特定API接口對用戶輸入的驗證機制存在嚴重缺陷。攻擊者無需任何憑證，僅需向目標設備發送特制HTTP請求，即可繞過所有認證控制，獲得系統最高權限。 02 影響范圍 Cisco ISE 3.3（未打(da)Patch 7） Cisco ISE 3.4（未打Patch 2） ISE-PIC對應版本 3.2及(ji)更早版(ban)本不受影響 03 漏洞危害 無需(xu)認證(zheng)：攻擊者(zhe)無需(xu)任(ren)何有效憑證(zheng)即可利用該漏洞25。 完全控制：成功(gong)利(li)用后(hou)，攻擊者可執行(xing)任意命令，包(bao)括安裝(zhuang)后(hou)門、竊取數據、橫向滲透內(nei)網等79。 類似漏洞歷史：該漏洞與6月修復(fu)的CVE-2025-20281（同樣CVSS 10分）類似，均因API輸入(ru)驗證(zheng)不足(zu)導致 04 緊急修復(fu)方(fang)案(an) 思科已發(fa)布針(zhen)對CVE-2025-20337的(de)補丁包（版本號(hao)：ise-apply-CSCwo99449_3.3.0.430_patch7-SPA.tar.gz），企(qi)業需在24小時內(nei)完成升(sheng)級：升(sheng)級路(lu)徑：登錄(lu)思科軟件中心（Cisco Software Center），下載對應版本的(de)補丁包。通過SSH或(huo)控制臺上(shang)傳補丁至ISE設備，執行安裝命令（詳(xiang)見官方指南）。臨時緩(huan)解措(cuo)施（若(ruo)無(wu)法立即(ji)升(sheng)級）：限(xian)制ISE設備的(de)公網暴露(lu)，僅(jin)允許內(nei)網可信IP訪問管(guan)理接口(kou)。啟用網絡級入侵檢測(ce)系統（IDS），監控異常API請(qing)求(qiu)。
