🔒 CVE-2025-20343：Cisco ISE RADIUS 抑制 DoS 漏洞 🌐

⚠️ 概述

🚨 高危 拒绝服务（DoS）漏洞，存在于 Cisco Identity Services Engine (ISE)！
💥 未认证的远程攻击者 可通过精心构造的 RADIUS 数据包 使设备崩溃。
📅 披露时间：2025年11月5日
✅ 尚无野外利用（目前！）

🛠️ 工作原理

🔄 “拒绝来自重复失败客户端的 RADIUS 请求” 设置中存在 逻辑错误。
🕵️‍♂️ 攻击者发送 精心构造的 RADIUS Access-Request，目标是 被拒绝的 MAC 地址。
💣 触发 意外重启 → DoS 状态
🌍 需要 网络访问 到 RADIUS 端口 — 无需认证！

CWE-697：错误的比较逻辑

📊 严重性分数

🔴 CVSS v3.1：8.6（高危）

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H

🖥️ 受影响系统

产品：Cisco Identity Services Engine (ISE)
受影响版本：

• 3.4.0
• 3.4 Patch 1
• 3.4 Patch 2
• 3.4 Patch 3

仅当使用 RADIUS（802.1X、VPN 等）时受影响
HA 集群可通过故障转移减少停机时间

🛡️ 利用状态

🛑 缓解与修复

🔧 修复方法

• 升级 至已修补的 ISE 版本（查看 Cisco 公告）
• 📌 立即 应用 — 利用难度低！

🔥 变通方案

• 禁用 “拒绝重复失败请求”（⚠️ 会降低暴力破解防护能力）
• 使用 ACL/防火墙 过滤 RADIUS 流量
• 部署 HA 并测试故障转移

🛡️ 最佳实践

• 🧪 先在实验室测试补丁
• 📡 监控：重启、RADIUS 流量激增、认证失败
• ⏰ 在维护窗口期间打补丁

📚 参考

• 🔗 Cisco 官方公告
• 📰 RedPacket Security
• 💻 BleepingComputer
• 🇩🇪 Heise Online

⚡ 行动项：如果你运行 Cisco ISE 3.4，请 立即打补丁！这是一个 低投入、高影响 的攻击，随时可能发生。🚀

保持安全！ 🔐