Cisco устранила критические уязвимости: обновите систему прямо сейчас!

Cisco выпустила исправление для двух уязвимостей в Identity Services Engine (ISE).

Эти уязвимости позволяли выполнять код удаленно, красть конфиденциальные данные и многое другое. Первая исправленная версия Identity Services Engine – 3.4. Cisco выпустила обновления для двух уязвимостей критического уровня, которые поражали ее решение Identity Services Engine (ISE). Поскольку эти уязвимости могут быть использованы для выполнения произвольных команд и кражи конфиденциальной информации, Cisco настоятельно рекомендует своим пользователям применить исправления как можно скорее.

В уведомлении о безопасности компания-производитель сетевого оборудования сообщила, что устранила уязвимость «десериализация пользовательских потоков байтов Java», отслеживаемую как CVE-2025-20124 и получившую оценку серьезности 9.9/10 (критический). Отправив на API, подверженное воздействию, кастомный сериализованный объект Java, злоумышленник мог выполнить произвольные команды и повысить привилегии.

Вторая уязвимость – ошибка обхода аутентификации, возникающая из-за того, что один из API не выполнял проверки полномочий или должным образом проверял данные, предоставленные пользователем. Злоумышленник мог отправить вредоносный HTTP-запрос на устройство к API для ее запуска. Эта ошибка отслеживается как CVE-2025-20125 и получила оценку серьезности 9.1/10 (критический).

Аутентификация требуется

Несмотря на то, что эти уязвимости звучат опасно, их не так-то просто использовать. Cisco заявила, что злоумышленникам все равно нужно будет пройти аутентификацию и иметь учетную запись администратора с правами только на чтение.

Действительно, это означает, что совершение атаки намного сложнее, но все же не невозможно. Как The Register справедливо отметил, киберпреступники могут заниматься фишингом учетных данных или просто покупать их на черном рынке.

"Стоит отметить, что NCC Group в прошлом году частично обвинила всплеск атак с вымогательством в компрометировании учетных данных, поэтому получить их не так уж и трудно. Конечно же, злоумышленники-внутренние сотрудники также могут использовать эти бреши", – говорится в публикации.

В любом случае Cisco уже выпустила исправления, поэтому их нужно установить как можно скорее. Версии 3.0 - 3.3 были уязвимы, поэтому пользователи должны убедиться, что обновили свое программное обеспечение до версии 3.4, по крайней мере. Хорошая новость в том, что пока нет никаких доказательств использования этих уязвимостей в дикой природе.