思科安全防火墙CVSS10分漏洞允许攻击者远程注入Shell命令

主要观点总结

思科公司披露了其安全防火墙管理中心（FMC）软件中存在一个高危安全漏洞CVE-2025-20265。该漏洞允许未经认证的攻击者远程执行具有高级权限的任意Shell命令。漏洞存在于RADIUS子系统实现中，影响认证阶段对用户输入的处理方式。

关键观点总结

关键观点1: 漏洞详情

该漏洞的CVSS评分为满分10.0，是今年在企业级防火墙基础设施中发现的最严重安全缺陷之一。攻击者可通过RADIUS认证过程中发送特制凭据来注入恶意Shell命令，这些命令随后会被目标设备执行。漏洞的特别之处在于无需任何认证，且可通过网络远程利用。

关键观点2: 受影响系统与缓解措施

该漏洞影响思科安全FMC软件7.0.7和7.7.0版本，仅当启用了基于Web的管理界面、SSH管理或两者同时使用了RADIUS认证时才会受到影响。未使用RADIUS认证的组织不受此特定攻击的影响。缓解措施是组织可以切换到其他认证方法以降低风险，但需要进行重大配置更改。

关键观点3: 修复建议

思科已发布免费软件更新来解决该漏洞，并建议所有受影响系统立即打补丁。公司还未报告有公开的漏洞利用尝试或恶意使用案例。

关键观点4: 漏洞发现背景

该漏洞是由思科公司的Brandon Sakai在内部安全测试期间发现的。此漏洞的发现强调了主动安全评估的重要性，并作为思科半年期安全公告的一部分发布。