Vulnerabilidade de Execução Remota de Código Não Autenticada na API Cisco ISE

Um atacante pode explorar esta vulnerabilidade enviando um arquivo malicioso para o dispositivo Cisco ISE. A ausência de validação adequada dos arquivos permite que o atacante coloque arquivos em diretórios privilegiados, comprometendo a integridade do sistema. A execução bem-sucedida do exploit pode conceder ao atacante controle total sobre o dispositivo, permitindo a exfiltração de dados confidenciais, a instalação de malware e o movimento lateral dentro da rede. Dada a natureza crítica da falha e a capacidade de execução como root, o impacto potencial é severo e pode levar a uma interrupção significativa das operações.

Organizations heavily reliant on Cisco ISE for network access control are at significant risk. This includes enterprises, educational institutions, and government agencies. Environments with legacy ISE deployments or those lacking robust security monitoring practices are particularly vulnerable. Shared hosting environments utilizing Cisco ISE are also at increased risk due to the potential for cross-tenant exploitation.

• linux / server: Monitor ISE logs (typically located in /var/log/ise/) for unusual file uploads or execution attempts. Use journalctl -f to monitor real-time log activity.

journalctl -f | grep -i "upload" | grep -i "execute"

• cisco: Use Cisco's Security Monitoring and Threat Detection (SMTD) tools to detect suspicious file upload patterns and unauthorized access attempts. Check Cisco's Threat Response Intelligence Center (CTRIC) for relevant signatures. • generic web: Monitor network traffic for unusual HTTP POST requests to ISE API endpoints, especially those related to file uploads. Use curl to test endpoint exposure.

curl -v -X POST -F "[email protected]" <ISE_IP>/api/upload

1. 2025-06-25Disclosure

   disclosure

1. Reservado2024-10-10
2. Publicada2025-06-25
3. Modificada2026-02-26
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar para a versão corrigida do Cisco ISE Software, conforme recomendado pela Cisco. Se a atualização imediata não for possível, considere implementar medidas de mitigação temporárias, como restringir o acesso à API interna vulnerável através de regras de firewall ou WAF. Monitore logs de sistema em busca de atividades suspeitas, como uploads de arquivos não autorizados. Implemente políticas de controle de acesso rigorosas para limitar os privilégios dos usuários e reduzir a superfície de ataque.