🔒 CVE-2025-20343: Уязвимость DoS на подавление RADIUS в Cisco ISE 🌐

⚠️ Обзор

🚨 Высокий уровень опасности — отказ в обслуживании (DoS) в Cisco Identity Services Engine (ISE)!
💥 Неаутентифицированный удаленный злоумышленник может вызвать сбой устройства с помощью специально сформированных RADIUS-пакетов.
📅 Раскрыто: 5 ноября 2025 г.
✅ Эксплуатация в реальных условиях не зафиксирована (пока!)

🛠️ Как это работает

🔄 Логическая ошибка в настройке «Отклонять RADIUS-запросы от клиентов с повторными сбоями».
🕵️‍♂️ Злоумышленник отправляет специально сформированные RADIUS Access-Requests с указанием отклоненного MAC-адреса.
💣 Вызывает неожиданную перезагрузку → состояние DoS
🌍 Требуется сетевой доступ к порту RADIUS — аутентификация не нужна!

CWE-697: Некорректная логика сравнения

📊 Оценка серьезности

🔴 CVSS v3.1: 8.6 (Высокий)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H

🖥️ Затронутые системы

Продукт: Cisco Identity Services Engine (ISE)
Уязвимые версии:

• 3.4.0
• 3.4 Patch 1
• 3.4 Patch 2
• 3.4 Patch 3

Только при использовании RADIUS (802.1X, VPN и т.д.)
Кластеры высокой доступности могут сократить время простоя за счет переключения

🛡️ Статус эксплуатации

🛑 Смягчение и исправления

🔧 Исправление

• Обновите ISE до исправленной версии (см. рекомендации Cisco)
• 📌 Примените как можно скорее — уязвимость легко эксплуатировать!

🔥 Обходные меры

• Отключите настройку «Отклонять повторные сбои» (⚠️ снижает защиту от перебора)
• Фильтруйте RADIUS-трафик с помощью ACL/брандмауэров
• Разверните HA с проверенным переключением

🛡️ Рекомендации

• 🧪 Сначала тестируйте исправления в лабораторных условиях
• 📡 Отслеживайте: перезагрузки, всплески RADIUS, сбои аутентификации
• ⏰ Применяйте исправления в окна технического обслуживания

📚 Ссылки

• 🔗 Официальное уведомление Cisco
• 📰 RedPacket Security
• 💻 BleepingComputer
• 🇩🇪 Heise Online

⚡ Действие: Если вы используете Cisco ISE 3.4, обновитесь сейчас! Это атака с низкими усилиями и высоким эффектом, которая только и ждет своего часа. 🚀

Оставайтесь в безопасности! 🔐