CiscoISE-CVE-2025-20282-POC

Cisco ISE CVE 2025-20282

Proof of Concept Write-up: https://riversecurity.eu/like-stealing-cisco-ise-cream-from-a-kid-weaponizing-a-cve/

Das Python-Skript missbraucht die Upload-Funktion, die ohne Authentifizierung unter /admin/files-upload/ verfügbar ist.

Das Skript erstellt lokal einen bin-Ordner und eine Datei namens isehourlycron.sh und füllt sie mit dem (die Datei ist base64-kodiert und im Skript enthalten) Originalinhalt aus dem Ordner der Cisco-ISE-Installation (unter /opt/CSMS/bin).

Anschließend wird ein Befehl am Ende der Datei hinzugefügt. Sofern Sie nicht "--reset" angeben; in diesem Fall wird der Befehl nicht hinzugefügt und die Datei wird auf den ursprünglichen Inhalt zurückgesetzt.

Das Skript packt diesen Ordner anschließend rekursiv samt Inhalt in eine Datei namens output.zip.

Die Datei wird dann über /admin/files-upload/ auf die ISE-Installation hochgeladen.

Auf der Cisco-ISE-Seite wird output.zip in /tmp/ abgelegt und der gesamte Inhalt in den Ordner /opt/CSCOcpm/ entpackt.

isehourlycron.sh wird mehrfach innerhalb einer Stunde als root ausgeführt. Dadurch wird Remote-Codeausführung als ROOT ermöglicht.