Cisco Identity Services Engine の脆弱性（CVE-2025-20337）

何が起きた

ネットワークの利用者を認証・管理する Cisco Identity Services Engine（ISE）と ISE-PIC の特定の API に、送られてきた入力を十分に確かめない弱点が見つかりました。細工したリクエストを送ると、攻撃者が root（最高権限）として任意の（好きに選んだ）プログラムを実行できるおそれがあります。この弱点は実際に悪用されたことが確認されています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、被害者の操作なしで悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Cisco ISE と ISE-PIC の 3.3 と 3.4 を使っている組織が影響を受けます。Cisco によると、3.2 以前はこの弱点の影響を受けません。

何をすればいい

Cisco は、3.3 は 3.3 Patch 7、3.4 は 3.4 Patch 2 に更新するよう案内しています。以前に出された Hot Patch では CVE-2025-20337 は直らないため、Hot Patch を当てた場合も 3.3 Patch 7 か 3.4 Patch 2 に更新してください。回避策はないとされています。あわせて、メーカーの公式の案内を確認してください。

やることチェックリスト

• ISE 3.3 を 3.3 Patch 7 に更新する
• ISE 3.4 を 3.4 Patch 2 に更新する
• Hot Patch だけの機器も正式版へ更新する

用語メモ

API

ソフト同士がやり取りするための窓口のことです。決まった形のリクエストを送ると、機能を呼び出せます。

root

Linux などで、すべての操作ができる最高の権限を持つ管理者のことです。

Hot Patch

正式な更新版を待たずに、特定の問題だけを急いで直すために当てる修正プログラムのことです。