Cisco Identity Services Engine 不安全的 Java 反序列化和授权绕过漏洞 (cisco-sa-ise-multivuls-FTW9AOXF)

high Nessus 插件 ID 216074

语言：

简介

远程设备缺少供应商提供的安全补丁。

描述

根据其自我报告的版本，Cisco Identity Services Engine 不安全的 Java 反序列化及身份验证绕过漏洞受到多个漏洞影响。

- Cisco ISE 的 API 中的漏洞可能允许经过身份验证的远程攻击者作为超级用户对受影响的设备执行任意命令。此漏洞源自受影响的软件对用户提供的 Java 字节流进行不安全的反序列化。攻击者可通过将特制的序列化 Java 目标发送到受影响的 API 来利用此漏洞。若成功利用漏洞，攻击者可在受影响的设备执行任意命令并提升自身权限。备注：若要成功利用此漏洞，攻击者必须具备有效的只读管理凭据。在单节点部署中，新设备在重新加载期间将无法进行身份验证。(CVE-2025-20124)

- Cisco ISE 的 API 中有一个漏洞，允许经过身份验证的远程攻击者利用有效只读凭据获取敏感信息、更改节点配置和重启节点。此漏洞是由于缺少特定 API 中的授权以及未正确验证用户提供的数据所导致。攻击者可通过将特制 HTTP 请求发送到受影响设备上的特定 API 来利用此漏洞。若成功利用此漏洞，攻击者可获取信息、修改系统配置，并重新加载设备。备注：若要成功利用此漏洞，攻击者必须具备有效的只读管理凭据。在单节点部署中，新设备在重新加载期间将无法进行身份验证。(CVE-2025-20125)

请参阅随附的 Cisco BID 和 Cisco 安全公告，了解更多信息。