Cisco: Sicherheitslücken in mehreren Produkten

Cisco hat vier neue Sicherheitsmitteilungen veröffentlicht und eine ältere aktualisiert. Eine der behandelten Schwachstellen erhält die Einstufung als kritisches Risiko mit Höchstwertung. Eine weitere der Lücken gilt als hochriskant.

In Ciscos Identity Services Engine (ISE) können Angreifer aus dem Netz ohne vorhergehende Authentifizierung Befehle ins Betriebssystem einschleusen, die im Kontext des root-Users ausgeführt werden. Die Sicherheitsmitteilung stammt ursprünglich von Ende Juni. Jetzt hat Cisco ihr jedoch ein Update verpasst und den bislang bekannten Schwachstellen mit den Nummern CVE-2025-20281 und CVE-2025-20282 den neuen Eintrag CVE-2025-20337 / EUVD-2025-21708 beiseitegestellt. „Angreifer benötigen keinerlei gültige Zugriffsdaten, um die Lücke zu missbrauchen. [..] Sie können sie durch das Senden einer manipulierten API-Anfrage ausnutzen. Bei Erfolg erhalten Angreifer root-Rechte auf betroffenen Geräten“, erklärt Cisco dazu. Betroffen sind Cisco ISE und ISE-PIC 3.3 und 3.4, die Versionen 3.3 Patch 7 sowie 3.4 Patch 2 schließen die neu bekannt gewordene Sicherheitslücke.

In Ciscos Unified Intelligence Center können Angreifer mit gültigem Zugang hingegen aufgrund einer Schwachstelle im Web-basierten Management-Interface beliebige Dateien auf verwundbare Systeme hochladen. „Ein erfolgreicher Exploit erlaubt Angreifern, bösartige Dateien im System abzulegen und beliebige Befehle im Betriebssystem auszuführen“, erklärt Cisco in der Sicherheitsmitteilung. Zum Missbrauch müssen bösartige Akteure mindestens Zugriff auf Ebene „Report Designer“ haben (CVE-2025-20274 / EUVD-2025-21714, CVSS 6.3, Risiko laut Cisco jedoch „hoch„). Das höher eingestufte Risiko erklärt Cisco damit, dass Angreifer ihre Rechte zu root ausweiten können.

Weitere Sicherheitslücken in Cisco-Produkten

Cisco hat noch weitere Schwachstellen gemeldet, die der Hersteller mit Updates ausbessert.

• Cisco Identity Services Engine Authenticated Remote Code Execution and Authorization Bypass Vulnerabilities, CVE-2025-20283, CVE-2025-20284, CVE-2025-20285 / EUVD-2025-21712, EUVD-2025-21711, EUVD-2025-21709, CVSS 6.5, Risiko „mittel„
• Cisco Unified Intelligence Center Server-Side Request Forgery Vulnerability, CVE-2025-20288 / EUVD-2025-21710, CVSS 5.8, Risiko „mittel„
• Cisco Prime Infrastructure and Evolved Programmable Network Manager Blind SQL Injection Vulnerability, CVE-2025-20272 / EUVD-2025-21713, CVSS 4.3, Risiko „mittel„

IT-Verantwortliche sollten die Aktualisierungen für bei ihnen eingesetzte Geräte zeitnah anwenden.

(dmk)