🔒 CVE-2025-20343 : Vulnérabilité DoS par suppression RADIUS dans Cisco ISE 🌐

⚠️ Aperçu

🚨 Faille de déni de service (DoS) de haute gravité dans Cisco Identity Services Engine (ISE) !
💥 Un attaquant distant non authentifié peut planter l'appareil avec des paquets RADIUS conçus.
📅 Divulgué : 5 novembre 2025
✅ Aucune exploitation connue dans la nature (pour l'instant !)

🛠️ Fonctionnement

🔄 Une erreur logique dans le paramètre "Rejeter les demandes RADIUS des clients ayant des échecs répétés".
🕵️‍♂️ L'attaquant envoie des demandes d'accès RADIUS conçues ciblant une adresse MAC rejetée.
💣 Déclenche un redémarrage inattendu → condition de DoS
🌍 Nécessite un accès réseau au port RADIUS — aucune authentification requise !

CWE-697 : Logique de comparaison incorrecte

📊 Score de gravité

🔴 CVSS v3.1: 8.6 (Élevé)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H

🖥️ Systèmes affectés

Produit : Cisco Identity Services Engine (ISE)
Versions vulnérables :

• 3.4.0
• 3.4 Patch 1
• 3.4 Patch 2
• 3.4 Patch 3

Seulement si vous utilisez RADIUS (802.1X, VPN, etc.)
Les clusters HA peuvent réduire les temps d'arrêt via le basculement

🛡️ Statut de l'exploitation

🛑 Atténuation et correctifs

🔧 Réparer

• Mettez à niveau vers la version corrigée de l'ISE (consultez l'avis Cisco)
• 📌 Appliquez dès que possible — facile à exploiter !

🔥 Solutions de contournement

• Désactivez “Rejeter les échecs répétés” (⚠️ réduit la protection contre la force brute)
• Filtrez le trafic RADIUS avec des ACL/pare-feux
• Déployez HA avec basculement testé

🛡️ Bonnes pratiques

• 🧪 Testez les correctifs d'abord en laboratoire
• 📡 Surveillez : redémarrages, pics RADIUS, échecs d'authentification
• ⏰ Corrigez pendant les fenêtres de maintenance

📚 Références

• 🔗 Avis officiel Cisco
• 📰 RedPacket Security
• 💻 BleepingComputer
• 🇩🇪 Heise Online

⚡ Mesure à prendre : Si vous utilisez Cisco ISE 3.4, corrigez maintenant ! C'est une attaque à faible effort, à fort impact qui n'attend que de se produire. 🚀

Restez en sécurité ! 🔐