[분석가] 분석 — CVE-2025-20281

• 심각도 critical · CVSS 10.0 · EPSS 0.97069 · 악용난이도 easy · KEV

• 외부 네트워크에서 인증 없이 직접 접근 가능한 특정 Cisco ISE / ISE‑PIC API에 조작된 JSON 요청을 전송
• 입력값 검증 미비로 인해 악의적인 파라미터가 OS 레벨 명령어로 실행되어 루트 권한 획득

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N는 네트워크를 통해 접근 가능한 엔드포인트에 대해 인증·사용자 개입 없이 낮은 복잡도로 공격이 가능함을 의미하므로, 실제 공격 난이도는 “easy” 수준으로 평가됩니다. EPSS 0.97069이라는 높은 실측값과 KEV(Known Exploited Vulnerabilities) 등재 사실은 이 취약점이 이미 야생에서 악용되고 있음을 강력히 뒷받침합니다. 공격 표면은 Cisco ISE 및 ISE‑PIC의 RESTful API 엔드포인트(주로 HTTPS 443 포트)이며, 관리 인터페이스가 외부 혹은 내부 네트워크에 노출된 경우 누구나 접근할 수 있습니다. 트리거 조건은 특별히 조작된 API 요청을 전송하는 것뿐이며, 별도의 인증 정보나 사용자 행동이 요구되지 않습니다. 입력값 검증 부재로 인해 공격자는 해당 요청에 포함된 악성 페이로드를 통해 운영체제 수준에서 명령어를 실행하여 루트 권한을 획득할 수 있습니다. 따라서 네트워크 접근만 확보하면 내부 위협 행위자나 외부 침투 후의 이동 단계에서도 손쉽게 악용될 위험이 존재합니다.

• 영향 제품: Cisco Identity Services Engine Software 3.3.0, 3.3 Patch 1‑6, 3.4.0, 3.4 Patch 1 (모두 취약)
• 공격 성공 시 결과
  • OS 루트 권한 획득 → 장비 전체 제어·정책 변조·인증 서비스 중단
  • 네트워크 인증 인프라 마비 → 가용성 손실, 사용자 로그인 차단
  • 공격자는 내부망으로 이동해 추가 시스템을 침투하거나 민감 데이터에 접근 가능
• 비즈니스 리스크
  • 핵심 인증·접근 제어 서비스 중단으로 운영 연속성 위협
  • 규제 준수(PCI‑DSS, HIPAA 등) 위반 위험 및 감사 결과 악영향
  • 브랜드 신뢰도 하락과 잠재적 손해배상 발생 가능

• 동일 제품군에서 보고된 인증 우회·정책 조작 취약점과 연계 시, 초기 루트 획득 후 권한 상승·세션 탈취 등 복합 공격 경로가 형성될 수 있음(구체적 CVE 번호는 확인되지 않음).

• 관리 API 엔드포인트(https://<ISE‑IP>/admin/...)에 대한 비정상적인 HTTP POST/PUT 요청 로그
• 인증 헤더 누락·비정형 JSON 구조·특이한 User‑Agent 감지 시 알림
• IDS/IPS에서 “unauthenticated RCE via Cisco ISE API” 서명 매칭(공급업체 제공)

1. 즉시: 방화벽·ACL을 이용해 외부에서 해당 API 포트(주로 TCP 443) 접근 차단, 허용 IP 목록으로 제한
2. 모니터링 강화: API 호출 로그와 시스템 프로세스 변화를 실시간 분석하여 이상 징후 탐지
3. 패치 적용: Cisco가 제공한 최신 보안 업데이트(해당 버전 전부)로 업그레이드 또는 취약 버전 사용 중단
4. 보조 조치: 불필요한 관리 서비스 비활성화, 인증 토큰 검증 로직 재검토 및 강제 TLS 1.2 이상 적용, 사후 침해 대응을 위해 루트 계정 비밀번호 교체 및 감사 로그 보관 강화

다중 소스에서 일관성이 확인됐으며(교차검증), EPSS 0.97069·KEV 등재·CVSS 10.0·Exploit easy 라는 실측 악용 예측이 즉시 대응(immediate) 우선순위를 뒷받침합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.97069 · exploit=easy · in_scope=None