🔒 CVE-2025-20343: Vulnerabilità DoS di soppressione RADIUS in Cisco ISE 🌐

⚠️ Panoramica

🚨 Vulnerabilità di denial-of-service (DoS) ad alta gravità in Cisco Identity Services Engine (ISE)!
💥 Un attaccante remoto non autenticato può bloccare il dispositivo con pacchetti RADIUS appositamente predisposti.
📅 Divulgata: 5 novembre 2025
✅ Nessuna sfruttamento noto in natura (ancora!)

🛠️ Come funziona

🔄 Un errore logico nell'impostazione "Rifiuta richieste RADIUS da client con fallimenti ripetuti".
🕵️‍♂️ L'attaccante invia richieste RADIUS Access-Requests predisposte indirizzate a un indirizzo MAC rifiutato.
💣 Provoca un riavvio imprevisto → Condizione DoS
🌍 Richiede accesso di rete alla porta RADIUS — nessuna autenticazione necessaria!

CWE-697: Logica di confronto errata

📊 Punteggio di gravità

🔴 CVSS v3.1: 8.6 (Alta)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H

🖥️ Sistemi interessati

Prodotto: Cisco Identity Services Engine (ISE)
Versioni vulnerabili:

• 3.4.0
• 3.4 Patch 1
• 3.4 Patch 2
• 3.4 Patch 3

Solo se si utilizza RADIUS (802.1X, VPN, ecc.)
I cluster HA possono ridurre i tempi di fermo tramite failover

🛡️ Stato dello sfruttamento

🛑 Mitigazione e correzioni

🔧 Correggere

• Aggiornare alla versione ISE patchata (controllare l'avviso Cisco)
• 📌 Applicare il prima possibile — facile da sfruttare!

🔥 Soluzioni alternative

• Disabilitare "Rifiuta fallimenti ripetuti" (⚠️ riduce la protezione da forza bruta)
• Filtrare il traffico RADIUS con ACL/firewall
• Distribuire HA con failover testato

🛡️ Best practice

• 🧪 Testare le patch prima in laboratorio
• 📡 Monitorare: riavvii, picchi RADIUS, fallimenti di autenticazione
• ⏰ Applicare le patch durante le finestre di manutenzione

📚 Riferimenti

• 🔗 Avviso ufficiale Cisco
• 📰 RedPacket Security
• 💻 BleepingComputer
• 🇩🇪 Heise Online

⚡ Azione consigliata: Se gestisci Cisco ISE 3.4, applica subito la patch! Si tratta di un attacco a basso sforzo e alto impatto in attesa di accadere. 🚀

Rimani al sicuro! 🔐