CVE-2025-20337
Cisco Identity Services Engine Injection Vulnerability
Beschreibung
CVE-2025-20337 ist eine kritische Injection-Schwachstelle in Cisco Identity Services Engine (ISE) und Cisco ISE Passive Identity Connector (ISE-PIC). Ein nicht authentifizierter Angreifer kann ueber manipulierte API-Anfragen beliebigen Code mit Root-Rechten auf dem darunterliegenden Betriebssystem ausfuehren. Die Schwachstelle wird mit dem hoechstmoeglichen CVSS v3.1-Score von 10.0 (CRITICAL) bewertet.
Die CISA hat CVE-2025-20337 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 18. August 2025. Der EPSS-Score von 0.58 % (68. Perzentil) deutet auf eine moderate, aber steigende Ausnutzungswahrscheinlichkeit hin. Cisco ISE ist eine zentrale Komponente fuer Netzwerk-Zugriffskontrolle und -Segmentierung in Unternehmensnetzen — eine Kompromittierung kann die Sicherheitsinfrastruktur eines gesamten Unternehmens untergraben.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cisco | identity services engine | 3.3.0; 3.4.0 |
| cisco | identity services engine passive identity connector | 3.3.0; 3.4.0 |
Referenzen
Schwachstellentyp
CWE-74: Injection
CVE-2025-20337 basiert auf CWE-74 (Injection), einer uebergeordneten Schwachstellenklasse, bei der Benutzereingaben unzureichend validiert in Befehle oder Anfragen eingebettet werden. Im Fall von Cisco ISE werden API-Eingaben nicht ausreichend validiert, bevor sie verarbeitet werden. Ein nicht authentifizierter Angreifer kann speziell praeparierte API-Anfragen senden, die zur Ausfuehrung von beliebigem Code mit Root-Rechten auf dem Betriebssystem fuehren.
Mehr erfahren: CWE-74 — Injection
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-20337 sind aufgrund des hoechstmoeglichen CVSS-Scores und der zentralen Rolle von Cisco ISE katastrophal. Der CVSS v3.1-Score von 10.0 (CRITICAL) mit dem Vektor AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H zeigt das denkbar schlimmste Szenario: Die Schwachstelle ist ueber das Netzwerk ohne jegliche Authentifizierung, ohne besondere Komplexitaet und ohne Benutzerinteraktion ausnutzbar. Der Scope ist geaendert (S:C), was bedeutet, dass die Kompromittierung Auswirkungen ueber die ISE-Instanz hinaus hat. Vertraulichkeit (High): Mit Root-Zugriff kann der Angreifer auf saemtliche ISE-Konfigurationsdaten zugreifen, einschliesslich RADIUS-Secrets, Zertifikate, Netzwerk-Policies und Benutzerinformationen. Integritaet (High): Netzwerk-Zugriffsrichtlinien koennen manipuliert werden, um nicht autorisierten Geraeten Zugang zu gewaeahren oder Sicherheitskontrollen zu umgehen. Verfuegbarkeit (High): Die Netzwerk-Zugriffskontrolle kann vollstaendig deaktiviert werden, was den Zugang zum gesamten Unternehmensnetz oeffnet. Der EPSS-Score liegt bei 0.58 %, was relativ niedrig erscheint, jedoch erhaelt die Schwachstelle durch die KEV-Aufnahme zusaetzliche Aufmerksamkeit.
Exploit-Reifegrad
CVE-2025-20337 weist eine erhoehte Exploit-Reife auf. Die CISA hat die Schwachstelle im KEV-Katalog als aktiv ausgenutzt gefuehrt, mit einer Behebungsfrist bis zum 18. August 2025. Obwohl der EPSS-Score von 0.58 % (68. Perzentil) vergleichsweise moderat ist, bestaetigt die KEV-Aufnahme aktive Ausnutzung in der Praxis. Cisco hat in seinem Security Advisory die Schwachstelle bestaetigt und Patches bereitgestellt. Der hoechstmoegliche CVSS-Score von 10.0 in Kombination mit der unauthentifizierten Remote-Ausfuehrung macht diese Schwachstelle zu einem bevorzugten Ziel fuer staatlich unterstuetzte Angreifer und Advanced Persistent Threats (APTs), die Netzwerkinfrastrukturen ins Visier nehmen. Der Ransomware-Status ist als Unknown klassifiziert, jedoch bietet Root-Zugriff auf eine zentrale Netzwerk-Zugriffskontrolle erhebliches Potenzial fuer weitreichende Angriffe.
Behebung
-
Cisco ISE umgehend patchen: Cisco hat Sicherheitsupdates fuer die betroffenen Versionen bereitgestellt. Aktualisieren Sie Cisco ISE und ISE-PIC gemaess dem Cisco Security Advisory cisco-sa-ise-unauth-rce-ZAd2GnJ6. Betroffene Versionen: ISE 3.3.0 und 3.4.0 sowie ISE-PIC 3.3.0 und 3.4.0.
-
API-Zugriff sofort einschraenken: Bis zur Patch-Installation beschraenken Sie den Zugriff auf die ISE-API strikt auf vertrauenswuerdige Management-Netzwerke. Implementieren Sie Firewall-Regeln, die API-Anfragen von nicht autorisierten Quellen blockieren.
-
Netzwerkisolierung der ISE-Instanzen: Betreiben Sie Cisco ISE in einem dedizierten Management-Netzwerksegment, das nur fuer autorisierte Administratoren erreichbar ist. Stellen Sie sicher, dass die ISE-Verwaltungsschnittstelle nicht aus dem Internet oder aus allgemeinen Benutzernetzwerken erreichbar ist.
-
Forensische Untersuchung durchfuehren: Aufgrund der aktiven Ausnutzung sollten alle ISE-Instanzen auf Anzeichen einer Kompromittierung untersucht werden. Pruefen Sie ISE-Logs, Systemdateien und RADIUS-Konfigurationen auf unautorisierte Aenderungen.
-
Netzwerk-Zugriffsrichtlinien ueberpruefen: Verifizieren Sie, dass keine unautorisierten Aenderungen an Netzwerk-Access-Policies, RADIUS-Konfigurationen oder Zertifikaten vorgenommen wurden. Rotieren Sie RADIUS-Shared-Secrets und Zertifikate als Vorsichtsmassnahme.
Technische Details
CVE-2025-20337 betrifft Cisco Identity Services Engine (ISE) und ISE Passive Identity Connector (ISE-PIC) in den Versionen 3.3.0 und 3.4.0. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H zeigt den hoechstmoeglichen Schweregrad: Netzwerkbasierter Angriff (AV:N), niedrige Komplexitaet (AC:L), keine Privilegien erforderlich (PR:N), keine Benutzerinteraktion noetig (UI:N), und veraenderter Scope (S:C).
Die Schwachstelle liegt in einer spezifischen API von Cisco ISE, die Benutzereingaben nicht ausreichend validiert (CWE-74). Ein nicht authentifizierter Angreifer kann speziell praeparierte API-Anfragen senden, die aufgrund der fehlenden Eingabevalidierung als Befehle auf dem darunterliegenden Betriebssystem interpretiert werden. Die Ausfuehrung erfolgt mit Root-Rechten, was dem Angreifer die vollstaendige Kontrolle ueber das System gibt.
Der veraenderte Scope (S:C) ist besonders relevant, da Cisco ISE als zentrale Netzwerk-Zugriffskontrolle fungiert. Eine Kompromittierung der ISE ermoeglicht dem Angreifer die Manipulation von RADIUS-Policies, die Gewaehrung von Netzwerkzugang fuer nicht autorisierte Geraete und die Umgehung saemtlicher netzwerkbasierter Sicherheitskontrollen. Alle drei Impact-Metriken stehen auf High, und die fehlende Authentifizierungsanforderung macht die Schwachstelle trivial ausnutzbar.
Häufig gestellte Fragen
Wird CVE-2025-20337 aktiv ausgenutzt?
Ja, die CISA hat CVE-2025-20337 im KEV-Katalog als aktiv ausgenutzt gefuehrt. Obwohl der EPSS-Score mit 0.58 % vergleichsweise moderat ist, bestaetigt die KEV-Aufnahme die aktive Ausnutzung. Der hoechstmoegliche CVSS-Score von 10.0 macht diese Schwachstelle zu einem bevorzugten Ziel fuer Angreifer.
Welche Produkte sind von CVE-2025-20337 betroffen?
Betroffen sind Cisco Identity Services Engine (ISE) in den Versionen 3.3.0 und 3.4.0 sowie Cisco ISE Passive Identity Connector (ISE-PIC) in den Versionen 3.3.0 und 3.4.0. Cisco ISE ist eine zentrale Plattform fuer Netzwerk-Zugriffskontrolle, die in vielen Unternehmen eingesetzt wird.
Wie behebe ich CVE-2025-20337?
Installieren Sie umgehend die von Cisco bereitgestellten Patches gemaess dem Cisco Security Advisory cisco-sa-ise-unauth-rce-ZAd2GnJ6. Bis zur Patch-Installation beschraenken Sie den API-Zugriff strikt auf vertrauenswuerdige Netzwerke und fuehren Sie eine forensische Untersuchung durch.
Wie schwerwiegend ist CVE-2025-20337?
CVE-2025-20337 erreicht den hoechstmoeglichen CVSS v3.1-Score von 10.0 (CRITICAL). Ein nicht authentifizierter Angreifer kann ohne jegliche Vorbedingungen beliebigen Code mit Root-Rechten ausfuehren. Die zentrale Rolle von Cisco ISE in der Netzwerksicherheit macht eine Kompromittierung besonders verheerend.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.