Cisco Identity Services Engine için Kritik Güvenlik Açıkları Duyuruldu
Cisco, ağ güvenliği çözümü olan Identity Services Engine (ISE) ve Passive Identity Connector (ISE-PIC) yazılımlarında tespit edilen iki kritik güvenlik açığı hakkında kullanıcıları uyardı. Uzak kod çalıştırma (RCE) riski taşıyan bu açıkların CVSS skoru 10.0 olarak değerlendirildi.
Yetkisiz Erişimle Sistem Ele Geçirilebiliyor
İlk açık, CVE-2025-20281 koduyla takip ediliyor ve ISE ile ISE-PIC’in 3.3 ve 3.4 sürümlerini etkiliyor. Açığın nedeni, kullanıcıdan gelen verilerin API üzerinden yetersiz şekilde denetlenmesi. Bu durum, saldırganların sisteme özel olarak hazırlanmış bir API isteği göndererek kök kullanıcı yetkisiyle komut çalıştırmasına imkân tanıyor.
İkinci açık ise CVE-2025-20282 olarak tanımlanıyor ve yalnızca ISE 3.4 sürümünde bulunuyor. Bu zafiyet, iç API’deki dosya doğrulama yetersizliğinden kaynaklanıyor. Saldırganlar, sisteme istedikleri dosyaları yükleyip kök haklarıyla çalıştırabiliyor.
Cisco Identity Services Engine, ağ erişim denetimi, kimlik doğrulama ve politika yönetimi için kullanılıyor. Bu yazılım, genellikle büyük şirketlerin, kamu kurumlarının ve üniversitelerin ağ altyapılarında kritik bir rol üstleniyor. Tespit edilen güvenlik açıkları, saldırganların sisteme herhangi bir kullanıcı doğrulaması olmadan tam erişim sağlamasına neden olabiliyor. Cisco, bu açıkların henüz aktif olarak kötüye kullanılmadığını belirtti ancak kullanıcıların güvenlik güncellemelerini hemen yüklemesini önerdi. Güvenli sürümlerin detayları şu şekilde:
- ISE 3.3 için: Patch 6 (ise-apply-CSCwo99449_3.3.0.430_patch4)
- ISE 3.4 için: Patch 2 (ise-apply-CSCwo99449_3.4.0.608_patch1)
Şirket, herhangi bir geçici çözüm sunmadı ve doğrudan güncelleme yapılmasını tavsiye etti.
Cisco, CVE-2025-20264 koduyla takip edilen ayrı bir güvenlik açığını daha duyurdu. Bu açık, SAML SSO entegrasyonu yapılan sistemlerde yetersiz yetkilendirme kontrolünden kaynaklanıyor. Saldırganlar, geçerli SSO kimlik bilgileriyle sisteme bağlanarak sistem ayarlarını değiştirebiliyor ya da sistemi yeniden başlatabiliyor.
Bu orta seviye açık, ISE 3.4 ve altındaki tüm sürümleri etkiliyor. Şirket, bu sorun için ISE 3.4 Patch 2 ve 3.3 Patch 5 ile çözüm sunduğunu belirtti. ISE 3.2 sürümü için düzeltmenin Kasım 2025’te yayınlanacak olan Patch 8 ile sunulması planlanıyor. ISE 3.1 ve önceki sürümler ise artık desteklenmiyor. Bu sürümleri kullananların daha yeni sürümlere geçmesi öneriliyor.
