Cisco ha publicado hotfixes para su Identity Services Engine (ISE) tras revelarse la vulnerabilidad CVE-2025-20286. Esta brecha de credenciales estáticas afecta a implementaciones en la nube de AWS, Azure y Oracle Cloud Infrastructure.
Vulnerabilidad y contexto
La vulnerabilidad CVE-2025-20286 ya cuenta con código de prueba de concepto. Cuando se despliega un nodo de Administración Primaria de ISE en la nube, el asistente de instalación genera las mismas credenciales para todas las instancias que compartan versión y plataforma.
Riesgos asociados
Un atacante sin autenticar podría extraer las credenciales de una instancia comprometida y usarlas para acceder a otras instalaciones ISE en diferentes nubes o clientes. La vulnerabilidad podría permitir acceso no autorizado con privilegios administrativos limitados.
Impacto potencial
La vulnerabilidad también podría permitir exposición de políticas de acceso y perfiles de dispositivos, así como cambio de configuraciones de autenticación RADIUS/TACACS+ y corte de servicio.
Versiones afectadas y soluciones
Las versiones vulnerables del ISE son: AWS 3.1 – 3.4, Azure 3.2 – 3.4, OCI 3,2 – 3.4. Los hotfixes correspondientes son: 3.1-2-HF, 3.2-4-HF, 3.3-3-HF y 3.4-1-HF.
Recomendaciones de mitigación
- Aplicar los hotfixes específicos para cada versión cuanto antes.
- Ejecutar el comando application reset-config ise en el nodo afectado (reinicia a valores de fábrica).
- Restringir el tráfico entrante únicamente a administradores autorizados mediante ACL en el security group de la nube.
- Auditar los registros de inicio de sesión y cambios de configuración tras la actualización.
- Rotar todas las contraseñas de cuentas internas y claves API asociadas a ISE.