Vulnerabilidade Crítica na Cisco ISE: Patch Urgente
A Cisco divulgou um patch para uma vulnerabilidade de extrema gravidade (nota CVSS 10/10) na sua plataforma Identity Services Engine (ISE) e no ISE Passive Identity Connector (ISE-PIC). A brecha, identificada como CVE-2025-20337, permite que um atacante não autenticado execute código arbitrário com privilégios de root em sistemas comprometidos.
A ISE e o ISE-PIC são ferramentas para gerenciamento de políticas de segurança e controle de acesso em redes. Essa vulnerabilidade, descrita como uma das piores possíveis, permite que crackers assumam total controle de computadores afetados com facilidade. Atualize imediatamente.
A Cisco revelou a brecha no dia 17 de julho, como parte de um novo alerta de segurança posterior a outro anúncio em junho sobre duas outras vulnerabilidades críticas nos mesmos produtos. A nova falha está ligada à CVE-2025-20281, uma das descobertas no mês passado, que também recebeu uma nota CVSS de 10.
A empresa explicou que a vulnerabilidade ocorre por falta de validação adequada de entrada fornecida pelo usuário. Um atacante pode explorar isso enviando uma solicitação bem-construída via API. Com êxito, isso permitiria ao invasor obter privilégios de root em dispositivos afetados.
Não há soluções alternativas, mas a Cisco lançou uma atualização de software que corrige ambas as falhas, além de outra vulnerabilidade crítica identificada como CVE-2025-20282.
A empresa destacou Bobby Gould da Trend Micro Zero Day Initiative por relatar a CVE-2025-20281, e Kentaro Kawane da GMO Cybersecurity, em parceria com a ZDI, por identificar as outras duas vulnerabilidades.
Dustin Childs, chefe de consciência de ameaças na ZDI, disse ao The Register que as brechas são diferentes, apesar de semelhantes. "Depois de analisar os patches para a CVE-2025-20281 e a CVE-2025-20337, ficou claro que essas deveriam ter sido atribuídas como dois problemas separados", ele explicou.
Até o momento, não há relatos de exploits em produção para essas vulnerabilidades, mas é高度provável que ambos os pesquisadores éticos e criminosos tentem explorá-las em breve.
