A Cisco publicou patches para corrigir vulnerabilidades críticas no Cisco Identity Services Engine (ISE), que poderiam permitir a elevação de privilégios e a modificação não autorizada de configurações do sistema. Os problemas mais graves, identificados como CVE-2025-20124 e CVE-2025-20125, afetam as APIs do ISE e possuem pontuações CVSS de 9,9 e 9,1, respectivamente. A primeira falha ocorre devido à desserialização insegura de fluxos de bytes Java fornecidos pelo usuário, permitindo a execução remota de comandos arbitrários. A segunda vulnerabilidade decorre da ausência de autorização em uma API e da validação inadequada de entrada de dados, possibilitando alterações na configuração do dispositivo e sua reinicialização remota.
Leia também
SAP corrige vulnerabilidades críticas no NetWeaver
Nvidia, Zoom e Zyxel corrigem falhas críticas
As correções estão disponíveis nas versões 3.1P10, 3.2P7 e 3.3P4 do ISE, e não há soluções alternativas para mitigar os riscos, tornando a atualização uma medida urgente para os usuários do sistema.
Além disso, a Cisco alertou sobre múltiplas falhas de alta gravidade no subsistema SNMP (Simple Network Management Protocol) dos sistemas Cisco IOS, IOS XE e IOS XR. Essas vulnerabilidades, identificadas de CVE-2025-20169 a CVE-2025-20176, podem ser exploradas para causar uma condição de negação de serviço (DoS), forçando o reinício inesperado dos dispositivos. A empresa já disponibilizou medidas de mitigação temporárias e planeja lançar patches entre fevereiro e março.
Também foram corrigidas falhas de gravidade média em diversos produtos, incluindo Cisco Expressway, Secure Email and Web Manager, Secure Email Gateway e Secure Web Appliance. Essas vulnerabilidades poderiam ser exploradas para execução de comandos, vazamento de informações, ataques de script entre sites (XSS) e downloads de arquivos maliciosos.
Até o momento, a Cisco afirma não ter evidências de exploração ativa dessas vulnerabilidades. Mais detalhes estão disponíveis na página de avisos de segurança da empresa.
