[TLP:CLEAR] Cisco opravuje 13 zranitelností
Cisco opravuje 13 zranitelností ve svých produktech. Nejzávažnější z nich jsou uvedeny níže, zbylé naleznete na [3] po rozkliknutí jednotlivých varování. Produkty a jejich opravené verze: Cisco Secure Firewall ASA Software - 9.12.4.72, 9.14.4.28 [4][5] Cisco Unified Contact Center Express - 12.5 SU3 ES07 [1][7], 15.0 ES01 [1][7] Cisco Identity Services Engine - 3.2 Patch 8 [6], 3.3 Patch 8 [6], 3.4 Patch 4 [6][2] Cisco Unified Intelligence Center - 15.0(01) ES202508 [7] Dostupnost opravy pro Cisco Secure Firewall FTD Software je možné ověřit pomocí nástroje Cisco Software Checker [8]. Již dříve reportované zranitelnosti CVE-2025-20333 [4] a CVE-2025-20362 [5] v softwaru Cisco Secure ASA a Cisco Secure FTD lze nyní, prostřednictvím nově objevené varianty útoku, zneužít k vykonání útoku DoS.
Neautentizovanému vzdálenému útočníkovi je kvůli nesprávné autentizaci v procesu Java RMI v Unified CCX umožněno nahrát libovolné soubory a spouštět libovolné příkazy na postiženém systému s oprávněními root [1].
Zranitelnost se nachází v produktu Cisco Unified CCX ve verzích (>=12.5 SU3 AND <12.5 SU3 ES07) OR (>=15.0 AND <15.0 ES01).
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2025-20354 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-434: Unrestricted Upload of File with Dangerous Type at cwe.mitre.org
Zranitelnost byla veřejně oznámena 5. 11. 2025.
Neautentizovanému vzdálenému útočníkovi je kvůli nesprávné autentizaci v aplikaci CCX Editor v Unified CCX umožněno obejít autentizaci a získat administrátorská oprávnění k vytváření a spouštění libovolných skriptů v podkladovém operačním systému [1].
Zranitelnost se nachází v produktu Cisco Unified CCX ve verzích (>=12.5 SU3 AND <12.5 SU3 ES07) OR (>=15.0 AND <15.0 ES01).
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
Více informací:
- CVE-2025-20358 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-306: Missing Authentication for Critical Function at cwe.mitre.org
Zranitelnost byla veřejně oznámena 5. 11. 2025.
Neautentizovanému vzdálenému útočníkovi je kvůli logické chybě při zpracování RADIUS požadavku pro MAC adresu již vedenou jako odmítnutý koncový bod umožněno, prostřednictvím zaslání specifické sekvence několika vytvořených RADIUS požadavků na přístup, vykonat útok DoS [2].
Zranitelnost se nachází v produktu Cisco ISE ve verzích >=3.4 AND <3.4 Patch 4.
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H/E:X/RL:X/RC:X
Více informací:
- CVE-2025-20343 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-697: Incorrect Comparison at cwe.mitre.org
Zranitelnost byla veřejně oznámena 5. 11. 2025.
Odkazy
- [1] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cc-unauth-rce-QeN8h7mQ
- [2] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-radsupress-dos-8YF3JThh
- [3] https://sec.cloudapps.cisco.com/security/center/publicationListing.x
- [4] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-webvpn-z5xP8EUB
- [5] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-webvpn-YROOTUW
- [6] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-multiple-vulns-O9BESWJH
- [7] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cc-mult-vuln-gK4TFXSn
- [8] https://sec.cloudapps.cisco.com/security/center/softwarechecker.x
Za CESNET-CERTS Michaela Jarošová dne 7. 11. 2025.
