Resumen ejecutivo
Cisco ha identificado tres vulnerabilidades que afectan a sus productos y que requieren atención inmediata según su criticidad. La más grave (CVSS 8.6) afecta a Cisco Identity Services Engine (ISE) y permite a un atacante remoto no autenticado provocar una denegación de servicio mediante solicitudes RADIUS manipuladas. La segunda (CVSS 7.1), presente en Cisco Unified Intelligence Center (CUIC), podría permitir a un atacante autenticado escalar privilegios a nivel de administrador y acceder, modificar o eliminar datos sensibles. La tercera (CVSS 4.3) también afecta a CUIC, específicamente a su API, y permitiría una escalada de privilegios horizontal entre usuarios autenticados. Cisco ha publicado actualizaciones que corrigen estos fallos: ISE 3.4 debe actualizarse a la versión 3.4P1, mientras que CUIC debe actualizarse a las versiones 12.5(1)SU ES04 o 12.6(2)ES04 según corresponda. Se recomienda aplicar estas actualizaciones según la prioridad de cada vulnerabilidad, verificar la compatibilidad del entorno y contactar al soporte técnico de Cisco en caso de duda.
Recursos afectados
- Cisco Identity Services Engine (ISE) con servicios de autenticación RADIUS habilitados
- Cisco ISE Release 3.4
- Cisco Unified Intelligence Center, en todas las configuraciones de dispositivo, incluyendo cuando se usa como parte de las siguientes soluciones de Cisco: Packaged Contact Center Enterprise (Packaged CCE) y Unified Contact Center Enterprise (Unified CCE)
- Cisco Unified Contact Center Express (Unified CCX) (ya que incluye Cisco Unified Intelligence Center como parte de su paquete de software)
- Cisco Unified Intelligence Center Release 12.5 y Release 12.6
- Cisco Unified CCX Release 12.5(1)SU3 y anteriores
Análisis técnico
- CVE-2025-20152: Una vulnerabilidad en la función de procesamiento de mensajes RADIUS de Cisco Identity Services Engine (ISE) podría permitir a un atacante remoto no autenticado provocar una condición de denegación de servicio (DoS) en un dispositivo afectado. Esta vulnerabilidad se debe a un manejo incorrecto de ciertas solicitudes RADIUS. Un atacante podría explotar esta vulnerabilidad enviando una solicitud de autenticación específica a un dispositivo de acceso a la red (NAD) que usa Cisco ISE para autenticación, autorización y contabilidad (AAA). Un exploit exitoso podría permitir al atacante hacer que Cisco ISE se reinicie.
- CWE-125
- CVSS: 8.6 (alta)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
- Explotación: No detectada
- CVE-2025-20113: Una vulnerabilidad en Cisco Unified Intelligence Center podría permitir a un atacante remoto autenticado, elevar privilegios a Administrador para un conjunto limitado de funciones en un sistema afectado. Esta vulnerabilidad se debe a una validación insuficiente en el lado del servidor de los parámetros suministrados por el usuario en solicitudes de API o HTTP. Un atacante podría explotar esta vulnerabilidad enviando una solicitud de API o HTTP manipulada a un sistema afectado. Un exploit exitoso podría permitir al atacante acceder, modificar o eliminar datos más allá del ámbito de su nivel de acceso previsto, incluyendo la obtención de información potencialmente sensible almacenada en el sistema.
- CWE-602
- CVSS: 7.1 (alta)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N
- Explotación: No detectada
- CVE-2025-20114: Una vulnerabilidad en la API del Cisco Unified Intelligence Center podría permitir a un atacante autenticado y remoto realizar un ataque de escalada de privilegios horizontal en un sistema afectado. Esta vulnerabilidad se debe a una validación insuficiente de los parámetros suministrados por el usuario en las solicitudes de API. Un atacante podría explotar esta vulnerabilidad enviando solicitudes de API manipuladas a un sistema afectado para ejecutar un ataque de referencia directa a objeto inseguro. Un exploit exitoso podría permitir al atacante acceder a datos específicos asociados con diferentes usuarios en el sistema afectado.
- CWE-639
- CVSS: 4.3 (media)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
- Explotación: No detectada
Mitigación / Solución
Cisco ha publicado actualizaciones de software para solucionar las vulnerabilidades presentadas. Para la vulnerabilidad en el uso del servicio RADIUS de Cisco Identity Services Engine, se recomienda actualizar a la versión 3.4P1. Respecto a las vulnerabilidades en el Centro de Inteligencia Unificada de Cisco, se sugieren las siguientes actualizaciones: para la versión 12.5, actualizar a la versión 12.5(1)SU ES04; para la versión 12.6, actualizar a la versión 12.6(2)ES04; las versiones 15 y posteriores no son vulnerables a este problema. En todos los casos, Cisco recomienda que los clientes se aseguren de que los dispositivos a ser actualizados contengan suficiente memoria y confirmen que las configuraciones de hardware y software actuales continuarán siendo soportadas correctamente por la nueva versión. Si la información no está clara, los clientes deben contactar al Centro de Asistencia Técnica de Cisco (TAC) o a sus proveedores de mantenimiento contratados. Para aquellos clientes que no cuenten con un contrato de servicio, deberán contactar a Cisco TAC con el número de serie del producto y estar preparados para proporcionar la URL de este aviso como prueba de su derecho a una actualización gratuita.