🔒 CVE-2025-20343: Cisco ISE RADIUS抑制 DoS脆弱性 🌐

⚠️ 概要

🚨 Cisco Identity Services Engine (ISE) における高深刻度のサービス拒否 (DoS) 脆弱性！
💥 認証されていないリモート攻撃者が、細工したRADIUSパケットでデバイスをクラッシュさせる可能性があります。
📅 公開日: 2025年11月5日
✅ 実環境での悪用は確認されていません（今のところ）

🛠️ 仕組み

🔄 「Reject RADIUS requests from clients with repeated failures」 設定にロジックエラーが存在します。
🕵️‍♂️ 攻撃者は、拒否されたMACアドレスを標的に細工したRADIUS Access-Requestsを送信します。
💣 予期しない再起動を引き起こし → DoS状態
🌍 RADIUSポートへのネットワークアクセスが必要 — 認証は不要!

CWE-697: 不適切な比較ロジック

📊 深刻度スコア

🔴 CVSS v3.1: 8.6 (高)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H

🖥️ 影響を受けるシステム

製品: Cisco Identity Services Engine (ISE)
影響を受けるバージョン:

• 3.4.0
• 3.4 Patch 1
• 3.4 Patch 2
• 3.4 Patch 3

RADIUS (802.1X、VPNなど) を使用している場合のみ
HAクラスターはフェールオーバーによりダウンタイムを軽減できます

🛡️ 悪用状況

🛑 緩和策と修正

🔧 修正方法

• パッチ適用済みのISEバージョンにアップグレードする（Ciscoアドバイザリを確認）
• 📌 できるだけ早く適用 — 悪用が容易！

🔥 回避策

• 「Reject repeated failures」を無効化する（⚠️ ブルートフォース保護が低下）
• ACL/ファイアウォールでRADIUSトラフィックをフィルタリングする
• テスト済みフェールオーバーでHAを導入する

🛡️ ベストプラクティス

• 🧪 まずラボでパッチをテストする
• 📡 監視項目: 再起動、RADIUSスパイク、認証失敗
• ⏰ メンテナンスウィンドウ中にパッチを適用する

📚 参考情報

• 🔗 Cisco公式アドバイザリ
• 📰 RedPacket Security
• 💻 BleepingComputer
• 🇩🇪 Heise Online

⚡ アクション項目: Cisco ISE 3.4 を運用しているなら、今すぐパッチを適用してください！これは低労力・高影響の攻撃が起こるのを待っている状態です。 🚀

安全を保ちましょう！ 🔐