A Cisco publicou dez comunicados de segurança com correções para mais de uma dúzia de vulnerabilidades, incluindo duas falhas de alta gravidade que afetam diretamente o Identity Services Engine (ISE) e o Unified Intelligence Center. Os problemas resolvidos envolvem riscos como negação de serviço e escalonamento de privilégios.
Leia também
Como o Google usa I.A. para migrar seu próprio código
Invasão expõe dados e carteiras do grupo LockBit
No ISE, a falha mais crítica é a CVE-2025-20152, que permite a execução remota de ataques de negação de serviço sem necessidade de autenticação. O problema está no processamento inadequado de mensagens RADIUS. Segundo a Cisco, um invasor pode forçar a reinicialização do sistema ao enviar uma solicitação de autenticação específica a um dispositivo de rede que utilize o ISE para funções de autenticação, autorização e contabilização (AAA).
Já no Unified Intelligence Center, a vulnerabilidade CVE-2025-20113 permite que um usuário autenticado eleve seus privilégios ao nível de administrador em determinados contextos. A falha decorre de validação insuficiente de parâmetros em requisições HTTP ou de API. Um segundo bug, CVE-2025-20114, com gravidade média, permite escalonamento horizontal de privilégios por meio de exploração de referências diretas inseguras.
Outras falhas de gravidade média foram corrigidas em produtos como Webex, Secure Network Analytics Manager, Duo, e soluções de comunicação e call center. Essas vulnerabilidades permitem desde ataques XSS e injeção de comandos até manipulação de dados e respostas HTTP cacheadas de forma indevida.
A Cisco afirma que, até o momento, não há indícios de exploração ativa dessas falhas. As correções já estão disponíveis e os administradores devem aplicar os patches o quanto antes.
