Se han descubierto múltiples vulnerabilidades de severidad alta y crítica en productos Cisco. Un actor malicioso podría lograr la elevación de privilegios, la ejecución arbitraria de código o provocar un estado de denegación de servicio.
Productos afectados
- Identity Services Engine (ISE) e ISE Passive Identity Connector (ISE-PIC)
- 3.0 y anteriores
- 3.1, versiones anteriores a 3.1P10
- 3.2, versiones anteriores a 3.2P7
- 3.3, versiones anteriores a 3.3P4
- IOS
- 15.2E, versiones anteriores a 15.2(7)E12 (Mar 2025)
- 15.5SY, versiones anteriores a 15.5(1)SY15 (Mar 2025)
- 15.9M, versiones anteriores a 15.9(3)M11 (Mar 2025)
- IOS XE
- 3.11E, versiones anteriores a 3.11.12E (Mar 2025)
- 16.12, versiones anteriores a 16.12.13 (Mar 2025)
- 17.9, versiones anteriores a 17.9.7 (Mar 2025)
- 17.12, versiones anteriores a 17.12.5 (Mar 2025)
- 17.15, versiones anteriores a 17.15.3 (Mar 2025)
- IOS XR
- 24.2 y anteriores, versiones anteriores a 24.2.21
- 24.3, todas las versiones
- 24.4, versiones anteriores a 24.4.2
- 25.2, versiones anteriores a 25.2.1
Impacto
Las vulnerabilidades de mayor severidad se han identificado como:
CVE-2025-20124: con una puntuación de 9.9 en CVSS v3.1. Existe una vulnerabilidad de deserialización de datos insegura en Cisco ISE e ISE-PIC. Un actor malicioso podría aprovechar esta vulnerabilidad para lograr la ejecución arbitraria de código, lo que podría permitir la elevación de privilegios.
CVE-2025-20125: con una puntuación de 9.1 en CVSS v3.1. Existe una vulnerabilidad de autorización inadecuada en Cisco ISE e ISE-PIC. Un actor malicioso podría aprovechar esta vulnerabilidad para obtener información sensible, cambiar la configuración del nodo o reiniciar el nodo.
CVE-2025-20169: con una puntuación de 7.7 en CVSS v3.1. La vulnerabilidad se debe a un inadecuado manejo de errores al procesar solicitudes SNMP. Un actor malicioso podría explotar esta vulnerabilidad al enviar solicitudes SNMP especialmente diseñadas a un dispositivo afectado, lo que causaría la recarga del dispositivo, resultando en una condición de denegación de servicio.
Recomendación
Actualizar a la última versión disponible a través del sitio web oficial del fabricante. Para ISE versión 3.0 e IOS XR versión 24.3 se recomienda migrar a una versión actualizada.
Referencias
- https://www.cve.org/CVERecord?id=CVE-2025-20124
- https://www.cve.org/CVERecord?id=CVE-2025-20125
- https://www.cve.org/CVERecord?id=CVE-2025-20169
- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-multivuls-FTW9AOXF
- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-snmp-dos-sdxnSUcW