CVE-2026-20305
KrytyczneCVSS 9.1Streszczenie
Podatność w narzędziach diagnostycznych Cisco ISE i ISE-PIC może pozwolić uwierzytelnionemu zdalnemu atakującemu na wstrzyknięcie poleceń do systemu operacyjnego i podniesienie uprawnień do root. Wymaga to ważnych poświadczeń administracyjnych. Przyczyną jest niewłaściwa walidacja danych wejściowych; udana eksploatacja może pozwolić na wykonanie dowolnego kodu, a w przypadku węzłów jednokrotnych może spowodować niedostępność węzła ISE (DoS).
Ocena ryzyka
Atakujący z ważnymi poświadczeniami administracyjnymi może wykonać dowolny kod jako root i przejąć kontrolę nad urządzeniem ISE. W konfiguracji jednokrotnej może to doprowadzić do niedostępności usługi uwierzytelniania, blokując dostęp do sieci nieuwierzytelnionym urządzeniom końcowym.
Rekomendacja
Należy niezwłocznie zastosować aktualizacje bezpieczeństwa Cisco dla Cisco ISE i ISE-PIC. Dodatkowo zaleca się ograniczenie liczby kont administracyjnych i monitorowanie nietypowych działań w narzędziach diagnostycznych.
Inne podatności w Cisco ISE
Zobacz wszystkie- CVE-2026-20307Krytyczne
Podatność w interfejsie zarządzania Cisco ISE może pozwolić uwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnych poleceń w systemie operacyjnym urządzenia. Wymaga to co najmniej niskouprawnionych poświadczeń administracyjnych. Przyczyną jest niebezpieczna deserializacja strumienia bajtów Java dostarczonego przez użytkownika; udana eksploatacja może pozwolić na wykonanie kodu i podniesienie uprawnień do root, a w przypadku węzłów jednokrotnych może spowodować niedostępność węzła ISE (DoS).
- CVE-2026-20306Krytyczne
Podatność w interfejsie REST API Cisco ISE i ISE-PIC może pozwolić uwierzytelnionemu zdalnemu atakującemu na wstrzyknięcie poleceń do systemu operacyjnego i podniesienie uprawnień do root. Wymaga to ważnych poświadczeń administracyjnych. Przyczyną jest niewłaściwa walidacja danych wejściowych; udana eksploatacja może pozwolić na wykonanie dowolnego kodu, a w przypadku węzłów jednokrotnych może spowodować niedostępność węzła ISE (DoS).
- CVE-2026-20234Krytyczne
Cisco przeprowadził wewnętrzny przegląd bezpieczeństwa, w wyniku którego wydano aktualizację wzmacniającą zabezpieczenia dla Cisco Identity Services Engine (ISE) oraz Cisco ISE Passive Identity Connector (ISE-PIC). Podatności oznaczone CVE-2026-20234 dotyczą niewystarczającej ochrony poświadczeń (CWE-522).
- CVE-2026-20148Średnie
Podatność w Cisco ISE i Cisco ISE-PIC umożliwia uwierzytelnionemu zdalnie atakującemu przeprowadzenie ataku typu path traversal na system operacyjny i odczyt dowolnych plików. Luka wynika z nieprawidłowej walidacji danych wejściowych użytkownika.
- CVE-2026-20147Krytyczne
Podatność w Cisco ISE i Cisco ISE-PIC umożliwia uwierzytelnionemu zdalnie administratorowi wykonanie dowolnych poleceń w systemie operacyjnym urządzenia. Problem wynika z niewystarczającej walidacji danych wejściowych użytkownika.
- CVE-2026-20195Średnie
Podatność w punkcie końcowym API zarządzania tożsamością w Cisco ISE umożliwia nieuwierzytelnionemu, zdalnemu atakującemu enumerację prawidłowych kont użytkowników na urządzeniu. Błąd wynika z różnic w komunikatach błędów zwracanych przez API.
- CVE-2026-20193Średnie
Podatność w interfejsach API polityki RADIUS w Cisco ISE umożliwia uwierzytelnionemu, zdalnemu atakującemu z uprawnieniami administratora tylko do odczytu uzyskanie nieautoryzowanego dostępu do wrażliwych informacji. Problem wynika z nieprawidłowych uprawnień kontroli dostępu opartej na rolach (RBAC) w tych interfejsach API.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the diagnostic tools of Cisco ISE and ISE-PIC could allow an authenticated, remote attacker to perform command injection attacks on the underlying operating system and elevate privileges to root. To exploit this vulnerability, the attacker must have valid administrative credentials. This vulnerability is due to improper validation of user-supplied input. An attacker could exploit this vulnerability by sending crafted commands to the web-based management interface of an affected device. A successful exploit could allow the attacker to execute arbitrary code on the device and elevate privileges to root. In single-node deployments, successful exploitation of this vulnerability could cause the affected ISE node to become unavailable, resulting in a denial of service (DoS) condition. In that condition, endpoints that have not already authenticated would be unable to access the network until the node is restored.