Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Cisco opravuje 6 zraniteľností

Cisco opravuje 6 zraniteľností v rôznych produktoch. Najzávažnejšie z nich nájdete nižšie, zvyšné na [1][2][3][4]. Jednotlivé produkty a ich opravené verzie: Cisco Identity Services Engine (ISE) [1] - 3.4 Patch 2, 3.3 Patch 7 Cisco ISE Passive Identity Connector (ISE-PIC) [1] - 3.4 Patch 2, 3.3 Patch 7 Cisco Unified Intelligence Center [2][3] - 12.6(2) ES05, 12.5(1) SU ES05 Cisco Prime Infrastructure [4] - 3.10.6 Security Update 02 Cisco Evolved Programmable Network Manager (EPNM) [4] - 8.1.1, 8.0.1

Cisco Identity Services Engine - RCE (CVE-2025-20283, CVE-2025-20284)
CVSS 6.5 (Medium)

Autentizovanému vzdialenému útočníkovi je vďaka nedostatočnej validácii používateľského vstupu v API Cisco ISE a Cisco ISE-PIC umožnené zaslaním špeciálne vytvoreného API dopytu spustiť kód ako root v operačnom systéme postihnutého zariadenia [1].

Zraniteľnosť sa nachádza v produktoch:

  • Cisco Identity Services Engine; >=3.3, <3.3 Patch 7; >=3.4, <3.4 Patch 2;
  • Cisco Identity Services Engine Passive Identity Connector; >=3.3, <3.3 Patch 7; >=3.4, <3.4 Patch 2

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N

Viac informácií:

  • CVE-2025-20283 na cve.org, NVD
  • CVE-2025-20284 na cve.org, NVD
  • CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component ('Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 16. 7. 2025.

Cisco Unified Intelligence Center - arbitrary file upload (CVE-2025-20274)
CVSS 6.3 (Medium)

Autentizovanému vzdialenému útočníkovi s rolou Report Designer a vyššou je cez webové rozhranie pre správu Cisco Unified Intelligence Center umožnené nahrávať ľubovoľné súbory do systému a prípadne spúšťať ľubovoľné príkazy, potenciálne aj ako root. Produkt je zraniteľný aj ako súčasť Packaged CCE, Unified CCE a Unified CCX [2].

Zraniteľnosť sa nachádza v produktoch:

  • Cisco Unified Intelligence Center; >=12.5, <12.5(1) SU ES05; >=12.6, <12.6(2) ES05;
  • Cisco Unified Contact Center Express; <=12.5(1)SU3;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Viac informácií:

Zraniteľnosť bola verejne oznámená 16. 7. 2025.

Cisco Unified Intelligence Center - SSRF (CVE-2025-20288)
CVSS 5.8 (Medium)

Neautentizovanému vzdialenému útočníkovi je vďaka nedostatočnej validácii špecifických HTTP dopytov vo webovom rozhraní pre správu Cisco Unified Intelligence Center umožnené vykonať útok SSRF. Produkt je zraniteľný aj ako súčasť Packaged CCE, Unified CCE a Unified CCX [3].

Zraniteľnosť sa nachádza v produktoch:

  • Cisco Unified Intelligence Center; >=12.5, <12.5(1) SU ES05; >=12.6, <12.6(2) ES05;
  • Cisco Unified Contact Center Express; <=12.5(1)SU3;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 16. 7. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dňa 21. 7. 2025.

CESNET, z.s.p.o. Logo