CVE-2025-20352 SNMP-Expositionsprüfung (onesixtyone + Parser)

CVE-2025-20352 logo

Schnelle, sichere Black-Box-Expositionsprüfung für Cisco IOS/IOS XE-Geräte im Zusammenhang mit CVE-2025-20352 (SNMP-Subsystem):

Scannen Sie Ihre Subnetze mit onesixtyone und Standard-Communitys auf SNMP.
Parsen Sie sysDescr.0-Banner mit einem kleinen Python-Skript, um Cisco IOS/IOS XE zu kennzeichnen und Versionen als Fixed (falls auf der Whitelist) oder Potentially Vulnerable (in Cisco Software Checker prüfen) zu markieren.

Dieses Projekt exploitiert nichts. Es identifiziert nur Geräte, die auf Standard-SNMP-Communitys antworten, und extrahiert Versionsinformationen aus sysDescr.0.

Schnellstart

# 0) Clone this repo
git clone https://github.com/scadastrangelove/CVE-2025-20352 cve-2025-20352-scan
cd cve-2025-20352-scan

# 1) Install dependencies (Ubuntu/Debian)
sudo add-apt-repository -y universe
sudo apt update
sudo apt install -y onesixtyone snmp python3

# 2) Create a small community list with defaults
printf "public\nprivate\n" > communities.txt

# 3) Scan your subnets (EDIT THESE!)
onesixtyone -c communities.txt 192.168.2.0/24 10.1.2.0/24 | tee snmp_raw.txt

# 4) Parse the results to CSV
python3 ios_cve20352_parser.py < snmp_raw.txt > parsed.csv

# 5) View nicely
column -s, -t < parsed.csv | less -S

Ausgabe

Spalten von parsed.csv:

ip — Ziel-IP
community — funktionierende SNMP-Community
vendor — Cisco / Non-Cisco
os_family — IOS, IOS XE oder leer
version — aus dem Banner extrahierte Versionszeichenfolge
status — Fixed, Potentially Vulnerable (in Cisco Software Checker prüfen) oder Not Cisco / Not IOS
raw — ursprüngliche Bannerzeile

Beispiel

ip,community,vendor,os_family,version,status,raw
1.1.2.4,public,Cisco,IOS,15.5(3)S2,Potentially Vulnerable — IOS 15.5(3)S2; verify in Cisco Software Checker,"Cisco IOS Software, ASR1000 ... Version 15.5(3)S2 ..."
1.1.2.2,public,Non-Cisco,,,Not Cisco / Not IOS,RouterOS RB750r2

Das Parser-Skript

ios_cve20352_parser.py liest von stdin (oder einer Datei) Zeilen wie:

<ip> [<community>] <sysDescr...>

Es extrahiert Cisco IOS/IOS XE-Versionen und kennzeichnet sie.

Behobene Versionen (Fixed) stehen in einer kleinen Whitelist im Skript:

FIXED_WHITELIST = {
    "IOS": {
        # Add exact IOS 15.x fixed versions you confirm via Cisco Software Checker
        # e.g. "15.9(3)M12": True
    },
    "IOS XE": {
        "17.15.4a": True
        # Add more as Cisco publishes/you confirm (e.g. "17.15.4b": True)
    }
}

Warum eine Whitelist? Ciscos Advisory verweist Administratoren für die genauen betroffenen/behobenen Builds je Train/Plattform auf den Cisco Software Checker. Das Skript geht daher auf Nummer sicher: Wenn eine Cisco IOS/IOS XE-Version nicht in der Fixed-Liste steht, wird sie als „Potentially Vulnerable“ markiert, und Sie sollten sie im Checker überprüfen.

Installieren der Abhängigkeiten

Ubuntu/Debian

sudo add-apt-repository -y universe
sudo apt update
sudo apt install -y onesixtyone snmp python3

RHEL/Fedora (Beispiel)

# onesixtyone may be in EPEL; otherwise build from source
sudo dnf install -y net-snmp-utils python3 git make gcc
git clone https://github.com/trailofbits/onesixtyone.git
cd onesixtyone && make && sudo make install

Verwendungsdetails

1) Scannen

printf "public\nprivate\n" > communities.txt
onesixtyone -c communities.txt 192.168.2.0/24 10.1.2.0/24 | tee snmp_raw.txt

Tipps:

Fügen Sie -w 1 hinzu, um die Wartezeit pro Host zu verkürzen (schneller), oder entfernen Sie es, wenn Timeouts auftreten.

Für ein direktes Einzelhost-Banner:

snmpget -v2c -c public -t 1 -r 0 <IP> 1.3.6.1.2.1.1.1.0

2) Parsen

python3 ios_cve20352_parser.py < snmp_raw.txt > parsed.csv
column -s, -t < parsed.csv | less -S

Sicherheit & Umfang

Scannen Sie nur Netzwerke, zu deren Bewertung Sie autorisiert sind.
Halten Sie die Raten auf langsamen Verbindungen moderat.
Dies ist eine Expositionsbewertung, keine Exploitation.

Fehlerbehebung

Keine Ergebnisse / Timeouts: Erhöhen Sie die Timeouts, reduzieren Sie die Rate, prüfen Sie ACLs/Firewalls auf UDP/161.
Cisco-Gerät, aber leere Version: Das Banner wurde möglicherweise abgeschnitten; fragen Sie sysDescr.0 direkt mit snmpget ab.
Falschnegative: Manche Geräte antworten nur von erlaubten Management-Hosts aus — führen Sie den Scan von einem zulässigen Standpunkt aus.

Mitwirken

Fügen Sie bestätigte Fixed-Versionen zu FIXED_WHITELIST hinzu.
PRs zur Verbesserung des Banner-Parsings und der Vendor-Erkennung sind willkommen.

Lizenz

EN

Dieses Projekt ist unter der MIT-Lizenz lizenziert. Den vollständigen Text finden Sie in der Datei LICENSE.

RU

Dieses Projekt ist unter der MIT-Lizenz lizenziert. Den vollständigen Text finden Sie in der Datei LICENSE.

RU — Expositionsprüfung CVE-2025-20352 (onesixtyone + Parser)

Schnelle und sichere Expositionsprüfung von Cisco IOS/IOS XE-Geräten im Zusammenhang mit CVE-2025-20352 (SNMP-Subsystem):

Scannen Sie Subnetze mit onesixtyone und Standard-Communitys auf SNMP.
Parsen Sie sysDescr.0-Banner mit einem Python-Skript: Kennzeichnen Sie Cisco IOS/IOS XE und setzen Sie den Status auf Fixed (falls in der Whitelist) oder Potentially Vulnerable (in Cisco Software Checker prüfen).

Das Projekt exploitiert die Schwachstelle nicht. Es ermittelt lediglich Geräte, die auf Standard-SNMP-Communitys antworten, und extrahiert die Version aus sysDescr.0.

Schnellstart

# 0) Клонирование
git clone https://github.com/scadastrangelove/CVE-2025-20352 cve-2025-20352-scan
cd cve-2025-20352-scan

# 1) Зависимости (Ubuntu/Debian)
sudo add-apt-repository -y universe
sudo apt update
sudo apt install -y onesixtyone snmp python3

# 2) Файл сообществ
printf "public\nprivate\n" > communities.txt

# 3) Сканирование подсетей (ИЗМЕНИТЕ ПОД СЕБЯ!)
onesixtyone -c communities.txt 192.168.2.0/24 10.1.2.0/24 | tee snmp_raw.txt

# 4) Парсинг в CSV
python3 ios_cve20352_parser.py < snmp_raw.txt > parsed.csv

# 5) Просмотр
column -s, -t < parsed.csv | less -S

Ausgabedaten

Spalten von parsed.csv:

ip — IP-Adresse
community — funktionierende SNMP-Community
vendor — Cisco / Non-Cisco
os_family — IOS, IOS XE oder leer
version — Versionszeichenfolge aus dem Banner
status — Fixed, Potentially Vulnerable (in Cisco Software Checker prüfen) oder Not Cisco / Not IOS
raw — ursprüngliche Bannerzeile

Beispiel

ip,community,vendor,os_family,version,status,raw
1.1.2.4,public,Cisco,IOS,15.5(3)S2,Potentially Vulnerable — IOS 15.5(3)S2; verify in Cisco Software Checker,"Cisco IOS Software, ASR1000 ... Version 15.5(3)S2 ..."
1.1.2.2,public,Non-Cisco,,,Not Cisco / Not IOS,RouterOS RB750r2

Parser

ios_cve20352_parser.py liest Zeilen der Form:

<ip> [<community>] <sysDescr...>

Extrahiert Cisco IOS/IOS XE-Versionen und vergibt Status.

Behobene Versionen (Fixed) sind in einer internen Whitelist aufgeführt:

FIXED_WHITELIST = {
    "IOS": {
        # Добавляйте точные версии IOS 15.x после проверки в Cisco Software Checker
        # напр. "15.9(3)M12": True
    },
    "IOS XE": {
        "17.15.4a": True
        # Дополняйте по мере публикаций/подтверждений (напр. "17.15.4b": True)
    }
}

Warum eine Whitelist? Das Cisco-Advisory empfiehlt, konkrete Builds über den Cisco Software Checker zu prüfen. Wenn eine IOS/IOS XE-Version daher nicht in der Fixed-Liste gefunden wird, setzt das Skript die Markierung „Potentially Vulnerable“; prüfen Sie sie anschließend im Checker.

Installieren der Abhängigkeiten

Ubuntu/Debian

sudo add-apt-repository -y universe
sudo apt update
sudo apt install -y onesixtyone snmp python3

RHEL/Fedora (Beispiel)

# onesixtyone может быть в EPEL; иначе соберите из исходников
sudo dnf install -y net-snmp-utils python3 git make gcc
git clone https://github.com/trailofbits/onesixtyone.git
cd onesixtyone && make && sudo make install

Verwendung

1) Scannen

printf "public\nprivate\n" > communities.txt
onesixtyone -c communities.txt 192.168.2.0/24 10.1.2.0/24 | tee snmp_raw.txt

Tipps:

Der Parameter -w 1 beschleunigt die Abfrage; entfernen Sie ihn, wenn Timeouts auftreten.

Gezieltes Banner für einen Host:

snmpget -v2c -c public -t 1 -r 0 <IP> 1.3.6.1.2.1.1.1.0

2) Parsen

python3 ios_cve20352_parser.py < snmp_raw.txt > parsed.csv
column -s, -t < parsed.csv | less -S

Sicherheit und Grenzen

Scannen Sie nur erlaubte Netzwerke.
Reduzieren Sie die Intensität bei langsamen Verbindungen.
Dies ist eine Expositionsbewertung, keine Exploitation.

Fehlerbehebung

Leer/Timeouts: Erhöhen Sie die Timeouts, reduzieren Sie die Geschwindigkeit, prüfen Sie ACLs/Firewalls auf UDP/161.
Cisco ohne Version: Das Banner könnte abgeschnitten sein — fragen Sie sysDescr.0 direkt über snmpget ab.
Falschnegative: Manche Geräte antworten nur vertrauenswürdigen Hosts — starten Sie von einem zulässigen Standpunkt.

Mitwirken

Ergänzen Sie FIXED_WHITELIST um bestätigte Fix-Releases.
Pull-Requests sind willkommen: Verbesserung des Parsings und der Vendor-Erkennung.

CVE-2025-20352

Beliebteste

CVE-2025-20352 SNMP-Expositionsprüfung (onesixtyone + Parser)

Schnellstart

Ausgabe

Das Parser-Skript

Installieren der Abhängigkeiten

Ubuntu/Debian

RHEL/Fedora (Beispiel)

Verwendungsdetails

1) Scannen

2) Parsen

Sicherheit & Umfang

Fehlerbehebung

Mitwirken

Lizenz

EN

RU

RU — Expositionsprüfung CVE-2025-20352 (onesixtyone + Parser)

Schnellstart

Ausgabedaten

Parser

Installieren der Abhängigkeiten

Ubuntu/Debian

RHEL/Fedora (Beispiel)

Verwendung

1) Scannen

2) Parsen

Sicherheit und Grenzen

Fehlerbehebung

Mitwirken

Lizenz

EN

RU