Zpětná vazba k reportu

Neautentizovanému vzdálenému útočníkovi je kvůli nedostatečné validaci uživatelského vstupu v API Cisco ISE a Cisco ISE-PIC zasláním speciálně vytvořeného API dotazu umožněno spustit kód jako root na operačním systému postiženého zařízení [1].

Zranitelnost se nachází v produktech:

• Cisco Identity Services Engine; >=3.3, <3.3 Patch 6; >=3.4, <3.4 Patch 2;
• Cisco Identity Services Engine Passive Identity Connector; >=3.3, <3.3 Patch 6; >=3.4, <3.4 Patch 2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Více informací:

• CVE-2025-20281 na cve.org, NVD
• CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component ('Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 25. 6. 2025.

Neautentizovanému vzdálenému útočníkovi je kvůli nedostatečné kontrole v interním API Cisco ISE a Cisco ISE-PIC umožněno nahrávat libovolné soubory do chráněných umístění systému postiženého zařízení a spustit kód jako root [1].

Zranitelnost se nachází v produktech:

• Cisco Identity Services Engine; >=3.4, <3.4 Patch 2;
• Cisco Identity Services Engine Passive Identity Connector; >=3.4, <3.4 Patch 2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Více informací:

• CVE-2025-20282 na cve.org, NVD
• CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component ('Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 25. 6. 2025.

Neautentizovanému vzdálenému útočníkovi je kvůli nesprávné alokaci paměťového bufferu při zpracování PDF souborů v ClamAV umožněno vykonat útok DoS nebo potenciálně spustit kód [4][7]. Tato zranitelnost se týká pouze konfigurací, kde je limit MaxFileSize nastaven na hodnotu ≥ 1024 MB a zároveň limit MaxScanSize na hodnotu ≥ 1025 MB [4].

Zranitelnost se nachází v produktu:

• ClamAV; >=1.0.0, <1.0.9; >=1.2.0, <=1.2.3; >=1.3.0, <=1.3.2; >=1.4.0, <=1.4.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

• CVE-2025-20260 na cve.org, NVD
• CWE-122: Heap-based Buffer Overflow na cwe.mitre.org

Zranitelnost byla veřejně oznámena 18. 6. 2025.

Neautentizovanému vzdálenému útočníkovi je zasíláním upravených HTTPS dotazů kvůli chybě v komponentě Cisco AnyConnect VPN serveru na zařízeních Cisco Meraki MX a Cisco Meraki Z Series Teleworker Gateway umožněno vykonat útok DoS na službu Cisco AnyConnect. Zranitelná jsou pouze zařízení s povolenou službou AnyConnect a současně aktivovanou autentizací klienta pomocí certifikátu. Seznam konkrétních zranitelných zařízení a další informace naleznete na [6].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H

Více informací:

• CVE-2025-20271 na cve.org, NVD
• CWE-457: Use of Uninitialized Variable na cwe.mitre.org

Zranitelnost byla veřejně oznámena 18. 6. 2025.

Autentizovanému vzdálenému útočníkovi je ve webovém rozhraní pro správu Cisco ISE umožněno obejít některé autorizační mechanismy a modifikovat specifická systémová nastavení, což může mimo jiné vést k restartu systému. Zranitelnost postihuje pouze nasazení s aktivní integrací SAML SSO přes externího IdP [2].

Zranitelnost se nachází v produktu:

• Cisco Identity Services Engine; <=3.1; >=3.1, <=3.1P10; >=3.2, <3.2P8; >=3.3, <3.3P5; >=3.4, <3.4P2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:L

Více informací:

• CVE-2025-20264 na cve.org, NVD
• CWE-285: Improper Authorization na cwe.mitre.org

Zranitelnost byla veřejně oznámena 25. 6. 2025.

Neautentizovanému vzdálenému útočníkovi je kvůli čtení mimo alokovaný rozsah paměťového bufferu při zpracování speciálně vytvořeného UDF souboru v ClamAV umožněno neoprávněně získat potenciálně citlivé informace nebo vykonat útok DoS [4][5]. Zranitelnost postihuje také Cisco Secure Endpoint Connector (Linux, macOS, Windows) a Secure Endpoint Private Cloud, informace ke konkrétním zranitelným verzím naleznete na [5].

Zranitelnost se nachází v produktu:

• ClamAV; >=1.2.0, <1.4.3;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Více informací:

• CVE-2025-20234 na cve.org, NVD
• CWE-125: Out-of-bounds Read na cwe.mitre.org

Zranitelnost byla veřejně oznámena 18. 6. 2025.