Cisco ISE CVE 2025-20282

Preuve de concept Analyse : https://riversecurity.eu/like-stealing-cisco-ise-cream-from-a-kid-weaponizing-a-cve/

Le script Python abuse de la fonction de téléversement disponible sans authentification à l'URL /admin/files-upload/.

Le script crée localement un dossier bin et un fichier nommé isehourlycron.sh, puis le remplit avec le contenu original (le fichier est encodé en base64 et inclus dans le script) de l'installation Cisco ISE (situé dans le dossier /opt/CSMS/bin).

Une commande est ensuite ajoutée à la fin du fichier. Sauf si vous spécifiez « --reset », dans ce cas la commande ne sera pas ajoutée et le fichier sera restauré à son contenu d'origine.

Le script compresse ensuite ce dossier de manière récursive, avec son contenu, dans un fichier nommé output.zip.

Le fichier est ensuite téléversé sur l'installation ISE en utilisant /admin/files-upload/.

Du côté de Cisco ISE, le fichier output.zip sera placé dans /tmp/ et tout son contenu sera extrait dans le dossier /opt/CSCOcpm/.

Le fichier isehourlycron.sh s'exécute en tant que root plusieurs fois par heure, permettant une exécution de code à distance en tant que ROOT.