skadevare/ciscoise-cve-2025-20282-pocإثبات المفهوم لـ CVE-2025-20282، الدرجة المثالية 10.
Cisco ISE CVE 2025-20282
إثبات المفهوم
التقرير الفني: https://riversecurity.eu/like-stealing-cisco-ise-cream-from-a-kid-weaponizing-a-cve/
يستغل السكربت المكتوب بلغة بايثون وظيفة الرفع المتاحة بدون مصادقة عبر المسار /admin/files-upload/
يقوم السكربت محليًا بإنشاء مجلد باسم bin وملف باسم isehourlycron.sh، ويملؤه بالمحتوى الأصلي (الملف مُرمَّز بصيغة Base64 ومضمّن داخل السكربت) من مجلد تثبيت Cisco ISE (الموجود في /opt/CSMS/bin).
ثم تتم إضافة أمر في نهاية الملف. ما لم تقم بتحديد "--reset"، وفي هذه الحالة لن تتم إضافة الأمر وسيتم إرجاع الملف إلى محتواه الأصلي.
بعد ذلك، يضغط السكربت هذا المجلد ومحتوياته بشكل متكرر في ملف باسم output.zip.
ثم يتم رفع الملف إلى تثبيت ISE باستخدام /admin/files-upload/.
على جانب Cisco ISE، سيتم وضع output.zip في /tmp/ وسيتم استخراج جميع محتوياته إلى مجلد /opt/CSCOcpm/.
يعمل isehourlycron.sh بصلاحيات الجذر (root) عدة مرات خلال الساعة، مما يتيح تنفيذ كود عن بُعد بصلاحيات الجذر.
