思科披露两个严重的身份服务引擎漏洞
内容提要
思科公司发现其身份服务引擎（ISE）软件存在两个严重漏洞（CVE-2025-20124和CVE-2025-20125），CVSS评分分别为9.9和9.1，可能导致远程命令执行和权限提升。思科建议受影响用户立即升级系统以降低风险。
关键要点
-
思科公司发现身份服务引擎（ISE）软件中的两个严重漏洞，CVE-2025-20124和CVE-2025-20125。
-
这两个漏洞的CVSS评分分别为9.9和9.1，可能导致远程命令执行和权限提升。
-
思科建议受影响用户立即升级系统以降低风险。
-
CVE-2025-20124是反序列化漏洞，攻击者需持有有效只读管理员凭证。
-
CVE-2025-20125是权限绕过漏洞，攻击者可通过构造HTTP请求窃取敏感信息。
-
受影响的产品包括思科ISE和思科ISE被动身份连接器，特定版本为3.0、3.1、3.2和3.3。
-
思科已发布免费的软件更新以修复这些漏洞，建议用户立即升级。
延伸解读
漏洞影响分析
思科身份服务引擎（ISE）中的两个漏洞，CVE-2025-20124和CVE-2025-20125，可能导致严重的安全风险。特别是CVE-2025-20124允许攻击者在持有有效凭证的情况下执行任意命令，这意味着一旦被利用，攻击者可以完全控制受影响的设备。企业应高度重视这些漏洞，及时评估其系统的安全性。
升级的重要性
思科已发布免费的软件更新以修复这些漏洞，建议所有受影响用户立即进行系统升级。保持软件更新不仅能修复已知漏洞，还能增强系统的整体安全性。企业应建立定期检查和更新软件的机制，以降低潜在的安全风险。
管理凭证的保护
这两个漏洞的利用都需要攻击者拥有有效的只读管理员凭证，这强调了保护管理凭证的重要性。企业应采取措施确保凭证的安全，例如定期更换密码、限制凭证的访问权限以及监控凭证的使用情况，以防止潜在的内部和外部攻击。
延伸问答
思科身份服务引擎（ISE）中发现了哪些严重漏洞？
思科身份服务引擎（ISE）中发现了两个严重漏洞，分别是CVE-2025-20124和CVE-2025-20125。
这两个漏洞的CVSS评分是多少？
CVE-2025-20124的CVSS评分为9.9，CVE-2025-20125的CVSS评分为9.1。
CVE-2025-20124和CVE-2025-20125分别会导致什么后果？
CVE-2025-20124可能导致远程命令执行，CVE-2025-20125可能导致权限绕过和敏感信息窃取。
思科对受影响用户有什么建议？
思科建议受影响用户立即升级系统以降低风险。
哪些版本的思科ISE受到这些漏洞的影响？
受影响的版本包括3.0、3.1、3.2和3.3，3.4版本不受影响。
思科是否提供了修复这些漏洞的更新？
是的，思科已经发布了免费的软件更新以修复这些漏洞。
