🔒 CVE-2025-20343: Vulnerabilidade DoS de Supressão RADIUS no Cisco ISE 🌐

⚠️ Visão Geral

🚨 Falha de negação de serviço (DoS) de alta gravidade no Cisco Identity Services Engine (ISE)!
💥 Um atacante remoto não autenticado pode derrubar o dispositivo com pacotes RADIUS especialmente criados.
📅 Divulgada: 5 de novembro de 2025
✅ Nenhuma exploração conhecida em ambiente real (ainda!)

🛠️ Como Funciona

🔄 Um erro de lógica na configuração "Rejeitar solicitações RADIUS de clientes com falhas repetidas".
🕵️‍♂️ O atacante envia solicitações de acesso RADIUS (Access-Requests) especialmente criadas direcionadas a um endereço MAC rejeitado.
💣 Aciona reinicialização inesperada → condição de DoS
🌍 Exige acesso à rede à porta RADIUS — nenhuma autenticação necessária!

CWE-697: Lógica de Comparação Incorreta

📊 Pontuação de Gravidade

🔴 CVSS v3.1: 8.6 (Alta)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H

🖥️ Sistemas Afetados

Produto: Cisco Identity Services Engine (ISE)
Versões Vulneráveis:

• 3.4.0
• 3.4 Patch 1
• 3.4 Patch 2
• 3.4 Patch 3

Somente se estiver usando RADIUS (802.1X, VPN, etc.)
Clusters HA podem reduzir o tempo de inatividade via failover

🛡️ Status de Exploração

🛑 Mitigação e Correções

🔧 Corrija

• Atualize para a versão corrigida do ISE (consulte o aviso da Cisco)
• 📌 Aplique o quanto antes — fácil de explorar!

🔥 Soluções Alternativas

• Desative "Rejeitar falhas repetidas" (⚠️ reduz a proteção contra força bruta)
• Filtre o tráfego RADIUS com ACLs/firewalls
• Implemente HA com failover testado

🛡️ Melhores Práticas

• 🧪 Teste as correções primeiro em laboratório
• 📡 Monitore: reinicializações, picos de RADIUS, falhas de autenticação
• ⏰ Aplique correções durante janelas de manutenção

📚 Referências

• 🔗 Aviso Oficial da Cisco
• 📰 RedPacket Security
• 💻 BleepingComputer
• 🇩🇪 Heise Online

⚡ Item de Ação: Se você executa o Cisco ISE 3.4, aplique a correção agora! Este é um ataque de baixo esforço e alto impacto que está prestes a acontecer. 🚀

Mantenha-se seguro! 🔐