Cisco ISE重大漏洞利用程序已现，且遭实际攻击

安全研究员Bobby Gould发布博客，展示了针对CVE-2025-20281的完整漏洞利用链。该漏洞是Cisco身份服务引擎（ISE）中的一处未授权远程代码执行漏洞。

这一关键漏洞于2025年6月25日首次披露，影响ISE及ISE-PIC版本3.3和3.4，允许未授权远程攻击者上传任意文件至目标系统，并以root权限执行。

漏洞根源于enableStrongSwanTunnel()方法中的不安全反序列化和命令注入。

三周后，厂商在同一公告中新增另一个相关漏洞CVE-2025-20337，该漏洞现细分为两部分：CVE-2025-20281（命令注入）和CVE-2025-20337（反序列化）。

虽然之前已发布临时补丁，但Cisco仍敦促用户升级至3.3 Patch 7和3.4 Patch 2以全面修复这两处漏洞。

2025年7月22日，Cisco确认CVE-2025-20281和CVE-2025-20337这两个漏洞已被实际利用，敦促管理员尽快应用安全更新。

随着时间的推移，管理员们有足够时间进行更新，安全研究员Gould现已发布详细技术报告，展示了如何通过序列化的Java String[]负载触发Cisco ISE中的命令注入漏洞。

该研究员利用Java的Runtime.exec()行为，并借助${IFS}绕过参数分词问题，实现了在Docker容器内以root权限执行任意命令。

最后，Gould演示了如何通过基于cgroups和release_agent的知名Linux容器逃逸技术，从受权的Docker容器中逃逸并获取宿主机的root权限。

虽然Gould的报告并非一个可直接套用的武器化漏洞利用脚本，但它提供了所有必要的技术细节和负载结构，熟练的攻击者可据此重现整个漏洞链，这份漏洞利用技术披露无疑将推动恶意活动的增加。

该漏洞没有应急解决方案，因此推荐按照厂商公告中的指引应用补丁。