Origine : bjCSIRT
Numéro : 2025/ALERTE/056
Date de l’alerte : 23/07/2025
APERÇU :
Cisco Identity Services Engine (ISE) est affecté par une vulnérabilité qui permettrait à un acteur malveillant d’exécuter du code à distance sur les systèmes affectés.
DESCRIPTION :
Cisco ISE est une solution développée par Cisco permettant de gérer les accès aux ressources informatiques en fonction de l’identité des utilisateurs.
Cisco ISE est affectée par la vulnérabilité libellée CVE-2025-20337 qui résulte d’une insuffisance de validation des entrées utilisateurs dans l’API du produit. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant non authentifié d’exécuter des commandes arbitraires avec les privilèges root sur le système affecté via l’envoi de requêtes HTTP spécialement conçues.
Cette vulnérabilité est classée critique avec un score de sévérité de 10.0 selon le CVSS 3.1.
IMPACT :
- Atteinte à confidentialité des données ;
- Atteinte à l’intégrité des données ;
- Exécution de code arbitraire.
SYSTÈMES AFFECTÉS :
- Cisco ISE and ISE-PIC 3.3 ;
- Cisco ISE and ISE-PIC 3.4.
MESURES À PRENDRE :
- Si Cisco ISE fonctionne avec la version 3.4 Patch 2, aucune action supplémentaire n’est nécessaire ;
- Si Cisco ISE fonctionne avec la version 3.3 Patch 6, des correctifs supplémentaires sont disponibles dans la version 3.3 Patch 7, et il est nécessaire de procéder à une mise à jour du système ;
- Si Cisco ISE a l’un des correctifs suivants : ise-apply-CSCwo99449_3.3.0.430_patch4-SPA.tar.gz ou ise-apply-CSCwo99449_3.4.0.608_patch1-SPA.tar.gz, Cisco recommande de mettre à jour vers la version 3.3 Patch 7 ou 3.4 Patch 2.
RÉFÉRENCES :
