Trusted Design

CVE-2025-20337 の詳細

CVEの情報

説明:
A vulnerability in a specific API of Cisco ISE and Cisco ISE-PIC could allow an unauthenticated, remote attacker to execute arbitrary code on the underlying operating system as root. The attacker does not require any valid credentials to exploit this vulnerability. This vulnerability is due to insufficient validation of user-supplied input. An attacker could exploit this vulnerability by submitting a crafted API request. A successful exploit could allow the attacker to obtain root privileges on an affected device.

CVE更新日: 2025-07-16 17:15:30.573000

CVSSバージョン: 3.1

CVSSスコア: 10.0

KEVの情報

KEV更新日: 2025-07-28

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.679950000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2025-20337に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2025-20337は、Cisco Identity Services Engine (ISE) およびCisco ISE Passive Identity Connector (ISE-PIC) の特定のAPIにおける認証不要のリモートコード実行（RCE）の脆弱性です。攻撃者は、認証情報なしに、基盤となるオペレーティングシステム上でroot権限で任意のコードを実行することが可能です。この脆弱性は、ユーザーが提供する入力の検証が不十分であることに起因します。

1.1 影響

この脆弱性が悪用されると、リモートコード実行によりroot権限が取得され、システムが完全に侵害される可能性があります。これにより、機密データへの不正アクセスや、重要なネットワークサービスの停止が引き起こされる恐れがあります。本脆弱性は、すでに実際の攻撃で積極的に悪用されていることが確認されています。

1.2 深刻度

CVE-2025-20337の深刻度は「Critical（緊急）」と評価されており、CVSS基本スコアは10.0（最大値）です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Cisco Identity Services Engine (ISE) およびCisco ISE Passive Identity Connector (ISE-PIC) の以下のバージョンが影響を受けます。

  • Cisco Identity Services Engine (ISE) およびISE Passive Identity Connector (ISE-PIC) リリース 3.3 および 3.4。
  • 具体的には、Cisco ISE およびISE-PIC バージョン 3.3.0 から 3.4.0。
  • Cisco ISE およびISE-PIC バージョン 3.3 Patch 7 より前のバージョン。
  • Cisco ISE-PIC バージョン 3.4 Patch 2 より前のバージョン。
  • バージョン 3.2 以前のリリースは影響を受けません。

一部の情報源では、より広範な影響バージョンが示されていますが、Ciscoの勧告では上記のパッチレベルへのアップグレードが推奨されています。

2.2 影響を受ける設定

デバイスの設定に関わらず、本脆弱性の影響を受けます。 脆弱性は、細工されたAPIリクエストを特定のAPIエンドポイントに送信することによって悪用されます。

3. 影響を受けた時の兆候

影響を受けた際の兆候として、以下のような異常が挙げられます。

  • ユーザー入力処理を行うAPIエンドポイントへの異常なAPIトラフィック。
  • ネットワークアクセスログにおける不正な送受信トラフィック。
  • メモリ内で実行され、HTTPハンドラとして登録されるカスタムマルウェアやバックドアの存在。
  • 影響を受けるデバイス上でroot権限が不正に取得されている形跡。

4. 推奨対策

4.1 本対策

以下のバージョンへのアップグレードを強く推奨します。

  • Cisco ISE をリリース 3.3 Patch 7 以降にアップグレード。
  • Cisco ISE-PIC をリリース 3.4 Patch 2 以降にアップグレード。

過去に適用されたホットパッチ（例: ise-apply-CSCwo99449_3.3.0.430_patch4-SPA.tar.gz や ise-apply-CSCwo99449_3.4.0.608_patch1-SPA.tar.gz）では、CVE-2025-20337は修正されていないため、これらのホットパッチが適用されている場合でも、上記のパッチレベルにアップグレードする必要があります。

4.2 暫定回避策（緩和策）

この脆弱性に対処する公式な回避策はありません。 しかし、一般的な緩和策として以下の実施が推奨されます。

  • さらなる悪用を防ぐため、影響を受けるシステムを隔離する。
  • 繰り返し行われる悪用試行パターンを監視する。
  • ネットワークアクセスログで不正な送受信トラフィックがないか確認する。
  • ユーザー入力を処理するAPIエンドポイントへの異常なAPIトラフィックを監視し、この脆弱性を悪用する既知のペイロードパターンを検出するためのシグネチャを実装する。
  • ファイアウォールルール、VPN、またはIP許可リストを使用して、Cisco ISEおよびISE-PICの管理インターフェースへのアクセスを制限する。
  • 関連するセキュリティパッチを速やかに適用する。

その他に解説すべき観点

  • 共通脆弱性タイプ識別子 (CWE): CWE-74 (Improper Neutralization of Special Elements in Output Used by a Downstream Component) に分類されており、ユーザー入力の不適切な検証が根本原因です。 また、「vulnerable deserialization logic（脆弱なデシリアライゼーションロジック）」にも関連しています。
  • 発見経緯: この脆弱性は、Trend Micro Zero Day Initiative を通じてGMO CybersecurityのKentaro Kawane氏によって報告されました。
  • 積極的な悪用: 本脆弱性は、すでに実環境で積極的に悪用されていることが確認されています。Amazonの脅威インテリジェンスチームは、悪用試行を検出しています。
  • 連携攻撃: 洗練された脅威アクターによるCitrixBleed 2などの他の脆弱性との連携攻撃で観測されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る