Cisco, kimlik yönetimi çözümü olan Identity Services Engine (ISE) için bulut tabanlı kurulumları etkileyen kritik bir güvenlik açığını giderdi. CVE-2025-20286 olarak izlenen açık, 9,9 CVSS puanıyla “kritik” seviyede değerlendirildi. Şirket, bu açığın kamuya açık bir istismar koduna sahip olduğunu ve acilen yama yapılması gerektiğini duyurdu.
Bulut Ortamındaki ISE Kullanıcıları İçin Kritik Güvenlik Açığı Kapatıldı
Söz konusu güvenlik açığı, AWS, Azure ve Oracle Cloud Infrastructure gibi ortamlarda konuşlandırılan ISE sistemlerinde görülüyor. Cisco, bu açığın, farklı bulut kurulumlarında aynı statik kimlik bilgilerinin oluşturulmasından kaynaklandığını belirtti. Bu durum, kötü niyetli kişilerin bir sistemden edindikleri kimlik bilgilerini diğer ISE kurulumlarında kullanarak erişim sağlamasına olanak tanıyor.
Cisco, bu zafiyetin sadece bulutta konuşlandırılan birincil yönetim düğümleri için geçerli olduğunu vurguladı. ISE sistemlerinin şirket içi altyapıda çalıştırılması durumunda güvenlik açığı oluşmuyor. Şirketin açıklamasına göre, yazılımın belirli sürümleri ve bulut platformları arasında ortak kimlik bilgileri kullanılması, saldırganlara aynı yapılandırmada çalışan farklı sistemlere erişim fırsatı veriyor. Bu açık, sisteme sınırlı yönetici yetkisiyle erişim sağlanmasına ve yapılandırmaların değiştirilmesine yol açabiliyor.
Cisco, güvenlik açığını düzeltmenin tek yolunun ilgili yamayı uygulamak olduğunu belirtti. Herhangi bir geçici çözüm bulunmadığı için kullanıcıların zaman kaybetmeden güncelleme yapmaları tavsiye edildi.
Cisco, İki Güvenlik Açığını Daha Giderdiğini Açıkladı
Cisco, yaptığı son duyuruda iki önemli güvenlik açığını daha kapattığını belirtti. CVE-2025-20129 ve CVE-2025-20130 kodlarıyla izlenen bu açıkların her biri 4,9 CVSS puanıyla dikkat çekiyor.
Bu açıklar arasında öne çıkan CVE-2025-20129, Cisco’nun Müşteri İş Birliği Platformu (CCP) içindeki web tabanlı sohbet arayüzünü etkiliyor. Cisco’dan yapılan açıklamaya göre, açık HTTP isteklerinin yeterince filtrelenmemesinden kaynaklanıyor. Bu güvenlik zafiyeti, kötü niyetli kişilerin sohbet trafiğini kendi kontrol ettikleri sunuculara yönlendirmesine olanak tanıyordu. Böyle bir durum ise kullanıcıların hassas verilerinin üçüncü taraflara sızdırılması riskini ciddi ölçüde artırıyordu.
Diğer açık olan CVE-2025-20130 ise ISE ve ISE-PIC sistemlerini etkiliyor. Bu zafiyet, yönetici ayrıcalıklarına sahip kişilerin belirli API uç noktaları aracılığıyla sisteme rastgele dosyalar yüklemesine olanak tanıyor. Cisco, bu açığın hatalı dosya kopyalama doğrulamasından kaynaklandığını belirtti.
Cisco, her üç güvenlik açığının da istismar edilebilir nitelikte olduğunu ve sistem güvenliğini tehlikeye attığını ifade etti. Şirket, kullanıcıların etkilenen sistemlerini hemen güncelleyerek bu açıkları kapatmalarını önemle tavsiye etti.
