思科紧急修复三个高危漏洞

思科于7月17日发布安全公告，披露其身份服务引擎（ISE）和被动身份连接器（ISE-PIC）中存在严重漏洞，未经身份验证的远程攻击者可利用这些漏洞以root权限执行命令。

漏洞允许任意代码执行

思科本次修复了三个漏洞：CVE-2025-20281、CVE-2025-20337和CVE-2025-20282。这些均为任意代码执行漏洞，但彼此无关，无需组合利用即可生效。

• CVE-2025-20281和CVE-2025-20337影响思科ISE和ISE-PIC，攻击者可通过提交特制的API请求，利用用户输入验证不足的缺陷实现远程代码执行，获得root级别权限。
• CVE-2025-20282影响思科ISE和ISE-PIC 3.4版本，攻击者可向设备上传特制文件。由于缺乏文件验证，文件可被放置在特权目录中，从而使攻击者执行任意代码或获取root访问权限。

思科表示尚未发现这些漏洞被主动利用。

如何修复漏洞

若您的思科ISE运行以下版本，则已针对这些漏洞完成修复：

• Release 3.4 Patch 2
• Release 3.3 Patch 6（需搭配Release 3.3 Patch 7）

思科此前发布了热修复补丁，但已被上述版本取代。公司还提供了应用更新的指南。

其他思科相关新闻

约一个月前，思科的安全情报部门Talos发现一个威胁组织以生成式AI为诱饵分发恶意软件。攻击者使用仿冒的真实企业网站分发名为CyberLock的勒索软件，该软件会锁定受害者计算机上的特定文档。虚假网站声称提供可下载的ChatGPT版本。

此外，为推进网络安全教育，思科于3月在欧盟推出了数字技能培训计划。通过思科网络学院提供的免费课程，旨在让更多人掌握网络和网络安全的基本技能。