🔒 CVE-2025-20343: Vulnerabilidad DoS de Supresión RADIUS en Cisco ISE 🌐

⚠️ Resumen

🚨 Alta gravedad fallo de denegación de servicio (DoS) en Cisco Identity Services Engine (ISE)!
💥 Un atacante remoto no autenticado puede bloquear el dispositivo con paquetes RADIUS manipulados.
📅 Divulgado: 5 de noviembre de 2025
✅ Sin explotación conocida en entornos reales (¡todavía!)

🛠️ Cómo funciona

🔄 Un error lógico en la configuración "Rechazar solicitudes RADIUS de clientes con fallos repetidos".
🕵️‍♂️ El atacante envía solicitudes de acceso RADIUS manipuladas dirigidas a una dirección MAC rechazada.
💣 Desencadena un reinicio inesperado → condición DoS
🌍 Requiere acceso de red al puerto RADIUS — ¡no necesita autenticación!

CWE-697: Lógica de comparación incorrecta

📊 Puntuación de gravedad

🔴 CVSS v3.1: 8.6 (Alto)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H

🖥️ Sistemas afectados

Producto: Cisco Identity Services Engine (ISE)
Versiones vulnerables:

• 3.4.0
• 3.4 Patch 1
• 3.4 Patch 2
• 3.4 Patch 3

Solo si se usa RADIUS (802.1X, VPN, etc.)
Los clusters HA pueden reducir el tiempo de inactividad mediante failover

🛡️ Estado de explotación

🛑 Mitigación y correcciones

🔧 Solución

• Actualice a la versión parcheada de ISE (consulte el aviso de Cisco)
• 📌 Aplique lo antes posible — ¡fácil de explotar!

🔥 Soluciones alternativas

• Deshabilite “Rechazar fallos repetidos” (⚠️ reduce la protección contra fuerza bruta)
• Filtre el tráfico RADIUS con ACLs/firewalls
• Implemente HA con failover probado

🛡️ Mejores prácticas

• 🧪 Pruebe los parches en el laboratorio primero
• 📡 Monitoree: reinicios, picos de RADIUS, fallos de autenticación
• ⏰ Parchee durante ventanas de mantenimiento

📚 Referencias

• 🔗 Aviso oficial de Cisco
• 📰 RedPacket Security
• 💻 BleepingComputer
• 🇩🇪 Heise Online

⚡ Acción requerida: Si ejecuta Cisco ISE 3.4, ¡aplique el parche ahora! Este es un ataque de bajo esfuerzo y alto impacto que está esperando ocurrir. 🚀

¡Manténgase seguro! 🔐