「Cisco ISE」にクリティカル脆弱性を追加 - 旧パッチでは未対処

ネットワーク認証製品「Cisco Identity Services Engine（ISE）」「ISE Passive Identity Connector（ISE-PIC）」に深刻な脆弱性が見つかった問題で、Cisco Systemsはあらたな脆弱性を公表した。

同社は現地時間2025年6月25日に入力検証不備の脆弱性「CVE-2025-20281」「CVE-2025-20282」について公表していたが、現地時間2025年7月16日にセキュリティアドバイザリを更新。「CVE-2025-20337」について追記した。

「CVE-2025-20337」は、「CVE-2025-20281」と同様に特定のAPIに明らかとなった脆弱性。入力検証が不十分であるため、細工したリクエストをAPIに送信することで認証を必要とすることなくリモートからroot権限で任意のコードを実行できる。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは、「CVE-2025-20281」「CVE-2025-20282」と同じく最高値の「10.0」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

同社は、アドバイザリの更新時点において、脆弱性の公表や悪用は確認されていないとしている。

（Security NEXT - 2025/07/17 ）ツイート