أعلنت شركة سيسكو عن إصدار تحديثات لمعالجة ثغرتين أمنيتين خطيرتين في نظام إدارة الهوية (Identity Services Engine)، مما قد يسمح للمهاجمين عن بُعد بتنفيذ أوامر تعسفية ورفع الامتيازات على الأجهزة المتضررة.

تحليل مفصل وسياق

تتعلق الثغرات الأمنية المذكورة بمنتج نظام إدارة الهوية لشركة سيسكو، وهو نظام مهم في تأمين الهوية وإدارة الوصول في الشبكات الكبيرة مثل المؤسسات المالية والحكومية. تتضمن الثغرات:

• CVE-2025-20124: ثغرة في جافا تتعلق بالتسلسل غير الآمن في واجهة برمجة التطبيقات (API) الخاصة بـ سيسكو. يمكن أن تسمح لمهاجم موثوق به عن بُعد بتنفيذ أوامر تعسفية كمستخدم جذر على الجهاز المتأثر، وهي مصنفة بدرجة خطورة 9.9.
• CVE-2025-20125: ثغرة تتعلق بتجاوز التفويض في واجهة برمجة التطبيقات، مما يمكن المهاجمين الذين يمتلكون بيانات اعتماد قراءة فقط من الحصول على معلومات حساسة وتغيير تكوين العقدة وإعادة تشغيلها، وهي مصنفة بدرجة 9.1.

تكمن خطورة هذه الثغرات في أنها قد تُستغل عبر إرسال كائن جافا متسلسل أو طلب (HTTP) إلى نقطة نهاية غير محددة في واجهة برمجة التطبيقات، مما يؤدي إلى تصعيد الامتيازات وتنفيذ الأوامر.

التأثير والآثار الأمنية

على الرغم من أن سيسكو أكدت عدم وجود استغلال ضار لهذه الثغرات حتى الآن، فإنها تمثل تهديدًا جديًا على الشبكات التي تعتمد على نظام إدارة الهوية. تكمن المخاطر في احتمال الوصول غير المصرح به إلى البيانات الحساسة أو تغيير إعدادات الشبكة، مما قد يؤدي إلى اضطرابات كبيرة في العمليات اليومية للمؤسسات.

رؤى الخبراء والتوسع

تم اكتشاف هذه الثغرات بواسطة الباحثين الأمنيين دان مارين وسباستيان رادوليا من ديلويت، مما يشير إلى أهمية الأبحاث الأمنية المستمرة في تحديد الثغرات وحلولها قبل استغلالها من قبل جهات خبيثة. يتوجب على المؤسسات أن تظل يقظة وتقوم بتحديث أنظمتها بانتظام لضمان الحماية المثلى.

تم معالجة الثغرات في الإصدارات التالية من برنامج سيسكو ISE:

• الإصدار 3.0 (يجب الترقية إلى إصدار ثابت)
• الإصدار 3.1 (تم الإصلاح في 3.1P10)
• الإصدار 3.2 (تم الإصلاح في 3.2P7)
• الإصدار 3.3 (تم الإصلاح في 3.3P4)
• الإصدار 3.4 (غير متأثر)

التفاعل والنقاش

ما هي الخطوات الإضافية التي يمكن اتخاذها لتعزيز الأمان في المؤسسات التي تعتمد على أنظمة الهوية؟ نرحب بآرائكم وتعليقاتكم عبر تويتر وفيسبوك.