Cisco gióng chuông báo động: Lỗ hổng ISE cho phép truy cập Root không xác thực

[WhiteHat Team]

Cuối mùa hè 2025, con dân an ninh mạng lại tiếp tục chứng kiến làn sóng tấn công mạng mới nhắm thẳng vào “trái tim” hệ thống kiểm soát truy cập mạng doanh nghiệp. Cisco vừa xác nhận các lỗ hổng nghiêm trọng trong nền tảng Identity Services Engine (ISE) và ISE Passive Identity Connector (ISE-PIC) đang bị khai thác thực tế.

Các chuyên gia cho biết: Một số lỗ hổng bảo mật trong ISE đã bị tin tặc nhắm đến và tấn công trong kể từ tháng 7/2025. Dù không công bố cụ thể nhóm tin tặc nào đang thực hiện các cuộc tấn công hay phạm vi ảnh hưởng, nhưng tính chất nghiêm trọng của các lỗ hổng đã khiến cộng đồng bảo mật toàn cầu phải đặc biệt quan tâm.

"Nạn nhân" là ISE​

Cisco ISE đóng vai trò then chốt trong việc kiểm soát ai và thiết bị nào được phép truy cập vào mạng nội bộ doanh nghiệp. Một khi bị tấn công, hệ thống này có thể biến từ công cụ quản lý thành cánh cổng mở toang dẫn tin tặc vào sâu bên trong mạng nội bộ mà không cần qua bước xác thực nào.

Ba lỗ hổng nghiêm trọng (CVSS 10,0) được nêu rõ bao gồm:

• CVE-2025-20281 và CVE-2025-20337: Xuất phát từ việc xác thực đầu vào không đầy đủ trong một API cụ thể, cho phép kẻ tấn công từ xa chưa xác thực thực thi mã độc với quyền root.
• CVE-2025-20282: Cho phép tải lên và thực thi tệp độc hại vào các thư mục đặc quyền trên hệ điều hành do thiếu kiểm tra đối với các tệp được upload qua API nội bộ.

Chỉ cần một yêu cầu API được thiết kế tinh vi hoặc một tệp độc hại được tải lên đúng cách, kẻ tấn công có thể chiếm toàn quyền kiểm soát hệ thống. Đặc biệt nguy hiểm vì không yêu cầu đăng nhập, không xác thực, chỉ cần hệ thống chưa được cập nhật bản vá.

Doanh nghiệp cần hành động ngay​

Trước tình trạng bị khai thác chủ động, Cisco kêu gọi tất cả khách hàng:

• Nâng cấp ngay lên bản phần mềm đã được vá lỗi
• Kiểm tra log hệ thống để phát hiện hành vi bất thường liên quan đến API hoặc các tệp được tải lên trái phép, nhất là trong các triển khai ISE có tiếp xúc với internet

Việc chậm trễ cập nhật có thể khiến doanh nghiệp phải đối mặt với rủi ro mất toàn quyền kiểm soát hạ tầng mạng, một nguy cơ đặc biệt nghiêm trọng trong các môi trường cần tuân thủ quy định bảo mật nghiêm ngặt.

Theo The Hacker News​