شرکت سیسکو اعلام کرد که وصله‌های امنیتی جدیدی را برای رفع یک آسیب‌پذیری بحرانی در محصول Identity Services Engine (ISE) منتشر کرده است. این نقص امنیتی می‌تواند به مهاجمان غیرمجاز اجازه دهد تا بدون احراز هویت، عملیات مخربی را روی سیستم‌های آسیب‌پذیر انجام دهند.

این آسیب‌پذیری که با شناسه CVE-2025-20286 ثبت شده، امتیاز 9.9 از 10 را در سیستم CVSS دریافت کرده است. مشکل اصلی مربوط به اعتبارنامه‌های ثابت (static credentials) در نسخه‌های ابری این محصول است.

طبق اعلام سیسکو، این نقص امنیتی در استقرارهای ابری ISE روی پلتفرم‌های آمازون وب سرویس (AWS)، مایکروسافت آژور (Azure) و زیرساخت ابری اوراکل (OCI) وجود دارد. مهاجمان می‌توانند با سوءاستفاده از این آسیب‌پذیری به داده‌های حساس دسترسی پیدا کنند، عملیات مدیریتی محدودی انجام دهند، تنظیمات سیستم را تغییر دهند یا خدمات را مختل کنند.

کنتارو کاوانه از شرکت GMO Cybersecurity این نقص را به سیسکو گزارش داده است. سیسکو تأیید کرده که کد اثبات مفهوم (PoC) برای این آسیب‌پذیری وجود دارد، اما شواهدی از سوءاستفاده واقعی در محیط‌های عملیاتی مشاهده نشده است.

ریشه مشکل در نحوه تولید اعتبارنامه‌ها هنگام استقرار ISE روی پلتفرم‌های ابری است. تمام نمونه‌هایی که از یک نسخه مشخص روی یک پلتفرم ابری خاص مستقر می‌شوند، اعتبارنامه‌های یکسانی دارند. به عنوان مثال، تمام نمونه‌های ISE نسخه 3.1 که روی AWS مستقر شده‌اند، اعتبارنامه‌های مشابهی خواهند داشت.

البته این اعتبارنامه‌ها بین نسخه‌های مختلف یا پلتفرم‌های متفاوت قابل استفاده نیستند. اعتبارنامه‌های نسخه 3.1 روی AWS برای دسترسی به نسخه 3.2 روی همان پلتفرم معتبر نیستند. همچنین اعتبارنامه‌های نسخه 3.2 روی AWS با نسخه 3.2 روی Azure متفاوت هستند.

مهاجمان می‌توانند با استخراج اعتبارنامه‌های کاربری از یک استقرار ابری ISE، از آنها برای دسترسی به سایر محیط‌های ابری مشابه از طریق پورت‌های ناامن استفاده کنند. این امر می‌تواند منجر به دسترسی غیرمجاز به اطلاعات حساس، اجرای عملیات مدیریتی، تغییر پیکربندی سیستم یا اختلال در خدمات شود.

نکته مهم این است که فقط گره‌های مدیریت اصلی (Primary Administration nodes) که در محیط ابری مستقر شده‌اند، آسیب‌پذیر هستند. گره‌هایی که به صورت محلی (on-premises) نصب شده‌اند، تحت تأثیر این مشکل قرار ندارند.

نسخه‌های آسیب‌پذیر عبارتند از:
• AWS: نسخه‌های 3.1، 3.2، 3.3 و 3.4
• Azure: نسخه‌های 3.2، 3.3 و 3.4
• OCI: نسخه‌های 3.2، 3.3 و 3.4

سیسکو اعلام کرده که راه‌حل موقتی برای این مشکل وجود ندارد. توصیه شرکت این است که کاربران ترافیک را فقط به مدیران مجاز محدود کنند یا از دستور “application reset-config ise” برای بازنشانی رمزهای عبور استفاده کنند. البته باید توجه داشت که اجرای این دستور باعث بازگشت ISE به تنظیمات کارخانه خواهد شد.