Cisco a identificat recent breșe critice de securitate în sistemele sale Identity Services Engine (ISE) și ISE Passive Identity Connector (ISE-PIC). Aceste vulnerabilități, cu un scor CVSS de 10.0, permit atacatorilor neautentificați să preia controlul complet prin executarea de comenzi la nivel de root. Flaw-urile (CVE-2025-20281, CVE-2025-20282, CVE-2025-20337) provin din validarea insuficientă a datelor în anumite API-uri.
Pericolul este major deoarece atacurile nu necesită autentificare. Versiunile afectate sunt Cisco ISE și ISE-PIC 3.3 și 3.4. Atacatorii pot insera cereri API malițioase sau pot încărca fișiere cu cod periculos, obținând control total asupra sistemului. Organizațiile care utilizează aceste versiuni riscă compromiterea platformelor lor esențiale de control al accesului la rețea.
Cisco a lansat actualizări software pentru a remedia aceste vulnerabilități. Nu există soluții temporare. Se recomandă insistent actualizarea la Release 3.3 Patch 7 sau Release 3.4 Patch 2. Hotfix-urile anterioare nu sunt suficiente. Până în prezent, nu există dovezi de exploatare publică a acestor vulnerabilități.
Sfaturi de protectie
1. Actualizare Imediată (Prioritate Maximă!)
De ce: Aceste patch-uri reprezintă singura soluție completă pentru a închide vulnerabilitățile critice. Este cel mai important pas pentru securitatea sistemului tău.
PASI:
- Identifică versiunea:
Prin Linie de Comandă (CLI):
Pasul 1: Conectează-te prin SSH la nodul ISE (folosind un client SSH precum PuTTY pe Windows sau Terminal pe Linux/macOS).
Pasul 2: La promptul de autentificare, introdu numele de utilizator (admin este cel implicit) și parola.
Pasul 3: Odată logat în CLI, tastează comanda show version și apasă tasta Enter. În ieșirea comenzii, caută linia care începe cu "Version:" (de exemplu: Version: 3.4.0.608 Patch 1).
- Descarcă patch-ul corect de pe Cisco Software Download
- Pentru Cisco ISE 3.3: Caută și descarcă fișierul corespunzător pentru 3.3 Patch 7. Asigură-te că descarci fișierul de tip patch (de obicei cu extensia .tar.gz).
- Pentru Cisco ISE 3.4: Caută și descarcă fișierul corespunzător pentru 3.4 Patch 2.
- Încarcă și aplică patch-ul pe nodul primar ISE:
- Via GUI (Interfața Grafică): Conectează-te la interfața web a ISE-ului. Navighează la Administration > System > Maintenance > Patch Management (sau similar). Aici, dă click pe butonul "Install", apoi pe "Browse..." pentru a selecta fișierul patch-ului descărcat de pe calculatorul tău. După ce fișierul este încărcat, confirmă instalarea și urmează toți pașii indicați în interfața grafică.
- Via CLI (Linia de Comandă): Dacă ai încărcat deja fișierul patch-ului pe un server securizat (cum ar fi SFTP, FTP sau SCP) care este accesibil de către ISE, te poți conecta prin SSH la ISE și folosi comanda patch install [url_către_patch]. (Exemplu: patch install ftp://user:password@ftp_server/calea/către/fișierul_patch.tar.gz).
- Important: Procesul de actualizare poate dura un timp considerabil și poate necesita o repornire a serviciilor ISE sau chiar a întregului nod. Planifică această operațiune într-o fereastră de mentenanță pentru a minimiza întreruperile.
2. Restricționarea Accesului la Interfețele de Management
De ce: Reduce drastic expunerea la atacatori.
PASI:
- Pe firewall-uri: Creează reguli ACL pentru a permite accesul la porturile HTTPS (443) și SSH (22) ale ISE doar de la adrese IP de încredere (stațiile adminilor, servere de jump). Blochează orice alt acces.
3. Segmentarea Robustă a Rețelei
De ce: Izolează ISE-ul pentru a limita răspândirea unui atac.
PASI:
- Creează un VLAN dedicat: Alocă nodurile ISE/ISE-PIC unui VLAN izolat (ex: VLAN_Management_Securizat).
- Reguli de firewall interne: Permite comunicarea către/dinspre VLAN-ul ISE doar pentru traficul necesar (ex: LDAP/AD, Syslog, echipamente gestionate). Blochează restul.
4. Monitorizează Activitatea Anormală
De ce: Detectează rapid tentativele de atac.
PASI:
- Configurează Syslog pe ISE: În GUI, mergi la Administration > System > Logging > Remote Logging Targets și trimite log-urile către un server Syslog/SIEM.
- Setează alerte: În SIEM, configurează alerte pentru încercări multiple de logare eșuate, acces suspect la API-uri sau modificări neașteptate.
5. Dezactivează Serviciile Care Nu Sunt Strict Necesare
De ce: Reduce suprafața de atac.
PASI:
- Verifică serviciile active: În ISE GUI, mergi la Administration > System > Deployment. Verifică ce servicii sunt activate sub "General Settings" și "Server Roles".
- Dezactivează ce nu folosești: Oprește serviciile care nu sunt strict necesare (ex: EAP-TLS dacă nu-l folosești, Guest Services fără portal activ). Consultă documentația Cisco
6. Implementează Autentificarea Multi-Factor (MFA) pentru Accesul Administrativ
De ce: Adaugă un strat suplimentar de securitate pentru conturile de administrator.
PASI:
- Integrează cu un IdP extern: Configurează ISE să utilizeze un furnizor de identitate extern (ex: Okta, Azure AD, Duo) care suportă MFA.
- Configurație ISE: În GUI, navighează la Administration > System > Admin Access > Authentication și configurează sursa de identitate externă cu MFA pentru administratorii GUI/CLI.
7. Fă Scanări Regulate
De ce: Identifică proactiv punctele slabe.
PASI:
- Scanează periodic: Utilizează un scanner de vulnerabilități (ex: Nessus, Qualys) pentru a scana regulat adresele IP ale nodurilor ISE.
- Actualizează semnăturile: Asigură-te că scannerul este mereu actualizat.
- Prioritizează remedierea: Analizează rapoartele și remediază rapid vulnerabilitățile descoperite
8. Aplică Principiul Privilegiului Minim
De ce: Minimizează consecințele unui cont compromis.
PASI:
- Revizuiește rolurile administratorilor: În ISE GUI, mergi la Administration > System > Admin Access > Administrators > Admin Groups și verifică permisiunile.
- Creează roluri specifice: Fă roluri personalizate cu permisiuni strict necesare pentru fiecare sarcină, evitând drepturile de "Super Admin" inutile.
9. Fă Backupuri Regulate
De ce: Te ajută să recuperezi rapid sistemul după un incident.
PASI:
- Configurează backupuri automate: În ISE GUI, navighează la Administration > System > Backup & Restore (sau similar). Setează backupuri programate către un server securizat (SFTP/FTP/NFS) extern ISE.
- Testează restaurarea: Periodic, efectuează un test de restaurare a unui backup pe un sistem de test pentru a te asigura că procesul funcționează.
10. Rămâi Informat și Abonează-te la Alerte de Securitate Cisco
- Monitorizează surse oficiale: Verifică regulat blogurile Cisco de securitate și forumurile ISE.
Pentru mai multe sfaturi și informații despre securitatea cibernetică, vizitează regulat sigurantapenet.ro