اکسپلویت آسیب‌پذیری بحرانی Cisco ISE در دسترس قرار گرفت
پژوهشگر امنیتی Bobby Gould در یک پست وبلاگی، زنجیره کامل اکسپلویت برای CVE-2025-20281، یک آسیب‌پذیری unauthenticated remote code execution در Cisco Identity Services Engine (ISE) را منتشر کرده است.
این آسیب‌پذیری بحرانی نخستین‌بار در ۲۵ ژوئن ۲۰۲۵ افشا شد و Cisco هشدار داد که نسخه‌های ISE و ISE-PIC نسخه‌های ۳.۳ و ۳.۴ را تحت‌تأثیر قرار می‌دهد و به مهاجمان راه دور و بدون احراز هویت امکان می‌دهد فایل‌های دلخواه را در سیستم هدف بارگذاری کرده و با root privileges اجرا کنند.
ریشه این مشکل به unsafe deserialization و command injection در متد enableStrongSwanTunnel() بازمی‌گردد. سه هفته بعد، شرکت سازنده آسیب‌پذیری دیگری با شناسه CVE-2025-20337 را به همان بولتن اضافه کرد که به همان نقص مربوط می‌شود اما اکنون به دو بخش تقسیم شده است: CVE-2025-20281 (تزریق فرمان) و CVE-2025-20337 (غیرفعالسازی ایمن سریال‌سازی).
اگرچه hotfixها پیش‌تر منتشر شده بودند، Cisco به کاربران توصیه کرد برای پوشش هر دو آسیب‌پذیری به نسخه‌های ۳٫۳ Patch 7 و ۳٫۴ Patch 2 به‌روزرسانی کنند.
در ۲۲ ژوئیه ۲۰۲۵، Cisco هر دو آسیب‌پذیری CVE-2025-20281 و CVE-2025-20337 را به‌عنوان در حال بهره‌برداری فعال اعلام کرد و مدیران شبکه را به اجرای فوری به‌روزرسانی‌های امنیتی فراخواند.
اکنون با گذشت زمان کافی برای اعمال اصلاحات، Gould گزارشی منتشر کرده که در آن نحوه فعال‌سازی نقص command injection در Cisco ISE از طریق serialized Java String[] payload را نشان می‌دهد.
این پژوهشگر با سوءاستفاده از رفتار Java’s Runtime.exec() و استفاده از ${IFS} برای دور زدن مشکلات argument tokenization موفق به اجرای فرمان دلخواه به‌عنوان root در یک Docker container می‌شود.
در نهایت، Gould روش فرار از privileged Docker container و کسب دسترسی root در host system را با استفاده از یک تکنیک شناخته‌شده Linux container escape مبتنی بر cgroups و release_agent نمایش داده است.
اگرچه نوشته‌ی Gould یک اسکریپت exploit آماده و قابل استفاده مستقیم برای مهاجمان نیست، اما تمام جزئیات فنی و ساختار payload موردنیاز برای بازسازی کامل این exploit را در اختیار هکرهای ماهر قرار می‌دهد.
حتی اگر بهره‌برداری فعال از این آسیب‌پذیری در فضای واقعی (in the wild) از پیش آغاز شده باشد، انتشار این exploit قطعاً منجر به افزایش فعالیت‌های مخرب خواهد شد.
برای این آسیب‌پذیری هیچ راه‌حل جایگزینی (workaround) وجود ندارد؛ بنابراین، اعمال وصله‌های امنیتی مطابق با بولتن منتشرشده توسط فروشنده، اقدام توصیه‌شده است.
