Spätná väzba k reportu

Neautentifikovanému vzdialenému útočníkovi je kvôli nedostatočnej validácii používateľského vstupu v API Cisco ISE a Cisco ISE-PIC zaslaním špeciálne vytvoreného API dotazu umožnené spustiť kód ako root na operačnom systéme postihnutého zariadenia [1].

Zraniteľnosť sa nachádza v produktoch:

• Cisco Identity Services Engine; >=3.3, <3.3 Patch 6; >=3.4, <3.4 Patch 2;
• Cisco Identity Services Engine Passive Identity Connector; >=3.3, <3.3 Patch 6; >=3.4, <3.4 Patch 2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

• CVE-2025-20281 na cve.org, NVD
• CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component ('Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 25. 6. 2025.

Neautentifikovanému vzdialenému útočníkovi je kvôli nedostatočnej kontrole vo vnútornom API Cisco ISE a Cisco ISE-PIC umožnené nahrávať ľubovoľné súbory do chránených umiestnení systému postihnutého zariadenia a spustiť kód ako root [1].

Zraniteľnosť sa nachádza v produktoch:

• Cisco Identity Services Engine; >=3.4, <3.4 Patch 2;
• Cisco Identity Services Engine Passive Identity Connector; >=3.4, <3.4 Patch 2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

• CVE-2025-20282 na cve.org, NVD
• CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component ('Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 25. 6. 2025.

Neautentifikovanému vzdialenému útočníkovi je kvôli nesprávnej alokácii pamäťového buffera pri spracovaní PDF súborov v ClamAV umožnené vykonať útok DoS alebo potenciálne spustiť kód [4][7]. Táto zraniteľnosť sa týka iba konfigurácií, kde je limit MaxFileSize nastavený na hodnotu ≥ 1024 MB a zároveň limit MaxScanSize na hodnotu ≥ 1025 MB [4].

Zraniteľnosť sa nachádza v produkte:

• ClamAV; >=1.0.0, <1.0.9; >=1.2.0, <=1.2.3; >=1.3.0, <=1.3.2; >=1.4.0, <=1.4.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2025-20260 na cve.org, NVD
• CWE-122: Heap-based Buffer Overflow na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 18. 6. 2025.

Neautentifikovanému vzdialenému útočníkovi je zasielaním upravených HTTPS dotazov kvôli chybe v komponente Cisco AnyConnect VPN servera na zariadeniach Cisco Meraki MX a Cisco Meraki Z Series Teleworker Gateway umožnené vykonať útok DoS na službu Cisco AnyConnect. Zraniteľné sú iba zariadenia s povolenou službou AnyConnect a súčasne aktivovanou autentifikáciou klienta pomocou certifikátu. Zoznam konkrétnych zraniteľných zariadení a ďalšie informácie nájdete na [6].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H

Viac informácií:

• CVE-2025-20271 na cve.org, NVD
• CWE-457: Use of Uninitialized Variable na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 18. 6. 2025.

Autentifikovanému vzdialenému útočníkovi je vo webovom rozhraní na správu Cisco ISE umožnené obísť niektoré autorizačné mechanizmy a modifikovať špecifické systémové nastavenia, čo môže okrem iného viesť k reštartu systému. Zraniteľnosť postihuje iba nasadenia s aktívnou integráciou SAML SSO cez externý IdP [2].

Zraniteľnosť sa nachádza v produkte:

• Cisco Identity Services Engine; <=3.1; >=3.1, <=3.1P10; >=3.2, <3.2P8; >=3.3, <3.3P5; >=3.4, <3.4P2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:L

Viac informácií:

• CVE-2025-20264 na cve.org, NVD
• CWE-285: Improper Authorization na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 25. 6. 2025.

Neautentifikovanému vzdialenému útočníkovi je kvôli čítaniu mimo alokovaného rozsahu pamäťového buffera pri spracovaní špeciálne vytvoreného UDF súboru v ClamAV umožnené neoprávnene získať potenciálne citlivé informácie alebo vykonať útok DoS [4][5]. Zraniteľnosť postihuje aj Cisco Secure Endpoint Connector (Linux, macOS, Windows) a Secure Endpoint Private Cloud, informácie o konkrétnych zraniteľných verziách nájdete na [5].

Zraniteľnosť sa nachádza v produkte:

• ClamAV; >=1.2.0, <1.4.3;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Viac informácií:

• CVE-2025-20234 na cve.org, NVD
• CWE-125: Out-of-bounds Read na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 18. 6. 2025.