Dupla sebezhetőség, kettős veszély
A problémát egy veszélyes deszerializációs és parancsbefecskendezési hiba okozza az enableStrongSwanTunnel() metódusban. Később a Cisco még egy, ehhez kapcsolódó sérülékenységet azonosított (CVE-2025-20337), amelyet az előzővel együtt javítottak. A biztonsági frissítéseket a gyártó a 3.3 Patch 7 és 3.4 Patch 2 verziókban adta ki, és minden adminisztrátort arra kér, hogy haladéktalanul telepítse azokat.
Hogyan törik fel az ISE-t?
A kutató lépésről lépésre mutatja be, hogy egy speciális Java String[] payload feltöltésével hogyan lehet parancsbefecskendezést végrehajtani, majd Java Runtime.exec() környezeti trükkök és ${IFS} karakterek segítségével rendszergazdai jogokkal parancsokat futtatni egy Docker-konténerben. Végül, egy ismert Linux csoport- és release_agent módszert kihasználva, a támadó a hoszt gépet is teljes mértékben átveheti.
Nincs menekvés, csak frissítés!
Bár egyelőre nincs lefordított, kész támadóprogram, a közzétett technikai részletek alapján gyakorlott támadók könnyen képesek lehetnek újraalkotni a támadást. Kiküszöbölő megoldás nincs, csak a gyártó által biztosított javítócsomagok azonnali telepítése. Ha ez elmarad, a Cisco ISE rendszerek rövid időn belül a támadók kedvenc célpontjaivá válhatnak.
