Cisco Identity Services Engine (ISE) yazılımında tespit edilen kritik güvenlik açığı için tam bir sömürü zinciri kamuya açıklandı. Güvenlik araştırmacısı Bobby Gould tarafından yayınlanan rapor, saldırganların kimlik doğrulaması olmadan uzaktan sistemde kök yetkilerle komut çalıştırabileceğini gösteriyor.
Cisco ISE Güvenlik Açığının Detayları
CVE-2025-20281 koduyla takip edilen güvenlik açığı ilk olarak 25 Haziran 2025’te duyuruldu. Cisco, 3.3 ve 3.4 sürümlerindeki ISE ve ISE-PIC sistemlerinin etkilendiğini belirtti. Açığın, enableStrongSwanTunnel() metodunda bulunan güvensiz serileştirme ve komut enjeksiyonundan kaynaklandığı açıklandı.
Saldırganlar bu açık üzerinden hedef sisteme istedikleri dosyaları yükleyebiliyor ve kök yetkilerle çalıştırabiliyor. Şirket, daha önce yayınlanan yamalara rağmen, yöneticilerin 3.3 Patch 7 ve 3.4 Patch 2 sürümlerine yükseltme yapmasını tavsiye ediyor.
Gould’un paylaştığı raporda, saldırının Java String[] dizisi kullanılarak serileştirilmiş bir payload üzerinden tetiklendiği görüldü. Araştırmacı, Java’nın Runtime.exec() davranışını kullanarak IFS değişkeni yardımıyla argüman ayrıştırma sorunlarını atlattı ve kök yetkilerle keyfi komut çalıştırmayı başardı.
Saldırının ilerleyen aşamasında, Docker içinde çalışan ayrıcalıklı kapsülden çıkış yapılarak ana sistemde kök erişim sağlanıyor. Bu aşamada cgroups ve release_agent tabanlı bilinen bir Linux kapsül kaçış tekniği kullanılıyor.
Cisco, 22 Temmuz 2025’te yayınladığı güvenlik bülteninde CVE-2025-20281 ve CVE-2025-20337 açıklarının aktif saldırılarda kullanıldığını duyurdu. Gould’un yayınladığı rapor doğrudan silahlanmış bir istismar aracı içermese de yeterli teknik ayrıntıyı vererek yetenekli saldırganların kolayca yeniden üretmesini sağlıyor.
Cisco, söz konusu güvenlik açıkları için herhangi bir geçici çözüm bulunmadığını vurguluyor. Şirket, kullanıcıların belirtilen yamaları derhal uygulamasını tavsiye ediyor. Güvenlik yamaları uygulanmadığı takdirde saldırganların sistemlere sızarak kritik verileri ele geçirme riski artıyor.
