TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
Cisco ออกแพตช์แก้ไขช่องโหว่ความปลอดภัยระดับ Critical จำนวน 2 รายการบนแพลตฟอร์ม Identity Services Engine (ISE) ซึ่งอาจถูกใช้เพื่อยกระดับสิทธิ์และรันคำสั่งในระดับ Root ได้
ช่องโหว่ทั้งสองรายการได้แก่ CVE-2025-20124 และ CVE-2025-20125 ส่งผลกระทบต่ออุปกรณ์ Cisco ISE และ ISE Passive Identity Connector (ISE-PIC) ทุกรุ่น โดย CVE-2025-20124 มีความรุนแรงระดับ 9.9/10 เกิดจากปัญหาการ Deserialization ของ Java byte streams ที่ไม่ปลอดภัย ทำให้ผู้โจมตีสามารถส่ง Serialized Java object ที่ถูกดัดแปลงเพื่อรันคำสั่งบนอุปกรณ์ได้ ส่วน CVE-2025-20125 เกิดจากการขาดการตรวจสอบสิทธิ์ที่เหมาะสมใน API และการตรวจสอบข้อมูลที่ผู้ใช้งานป้อนเข้ามาไม่เพียงพอ
Cisco แนะนำให้ผู้ดูแลระบบอัปเกรดอุปกรณ์เป็นเวอร์ชันที่ได้รับการแก้ไขแล้วโดยเร็วที่สุด โดยเวอร์ชันที่แก้ไขปัญหาแล้วได้แก่ ISE 3.1P10, 3.2P7 และ 3.3P4 ส่วนผู้ใช้งานเวอร์ชัน 3.0 จำเป็นต้องย้ายไปใช้เวอร์ชันที่ใหม่กว่า ทั้งนี้ทีม PSIRT ของ Cisco ยังไม่พบหลักฐานการใช้ช่องโหว่เหล่านี้โจมตีแต่อย่างใด
