CVE-2025-20352 Verificación de exposición SNMP (onesixtyone + parser)

Comprobación de exposición black-box rápida y segura para dispositivos Cisco IOS/IOS XE relacionada con CVE-2025-20352 (subsistema SNMP):

1. Escanea tus subredes en busca de SNMP con onesixtyone y las comunidades por defecto.
2. Analiza los banners de sysDescr.0 con un pequeño script de Python para marcar Cisco IOS/IOS XE y clasificar las versiones como Fixed (si están en la lista blanca) o Potentially Vulnerable (verifícalo en Cisco Software Checker).

Este proyecto no explota nada. Solo identifica dispositivos que responden a las comunidades SNMP por defecto y extrae información de versión de sysDescr.0.

Inicio rápido

# 0) Clone this repo
git clone https://github.com/scadastrangelove/CVE-2025-20352 cve-2025-20352-scan
cd cve-2025-20352-scan

# 1) Install dependencies (Ubuntu/Debian)
sudo add-apt-repository -y universe
sudo apt update
sudo apt install -y onesixtyone snmp python3

# 2) Create a small community list with defaults
printf "public\nprivate\n" > communities.txt

# 3) Scan your subnets (EDIT THESE!)
onesixtyone -c communities.txt 192.168.2.0/24 10.1.2.0/24 | tee snmp_raw.txt

# 4) Parse the results to CSV
python3 ios_cve20352_parser.py < snmp_raw.txt > parsed.csv

# 5) View nicely
column -s, -t < parsed.csv | less -S

Salida

Columnas de parsed.csv:

• ip — IP de destino
• community — comunidad SNMP que funcionó
• vendor — Cisco / Non-Cisco
• os_family — IOS, IOS XE o vacío
• version — cadena de versión extraída del banner
• status — Fixed, Potentially Vulnerable (verifícalo en Cisco Software Checker) o Not Cisco / Not IOS
• raw — línea del banner original

Ejemplo

ip,community,vendor,os_family,version,status,raw
1.1.2.4,public,Cisco,IOS,15.5(3)S2,Potentially Vulnerable — IOS 15.5(3)S2; verify in Cisco Software Checker,"Cisco IOS Software, ASR1000 ... Version 15.5(3)S2 ..."
1.1.2.2,public,Non-Cisco,,,Not Cisco / Not IOS,RouterOS RB750r2

El script del parser

ios_cve20352_parser.py lee de stdin (o de un archivo) líneas como:

<ip> [<community>] <sysDescr...>

Extrae las versiones de Cisco IOS/IOS XE y las etiqueta.

Las versiones corregidas (Fixed) se encuentran en una pequeña lista blanca dentro del script:

FIXED_WHITELIST = {
    "IOS": {
        # Add exact IOS 15.x fixed versions you confirm via Cisco Software Checker
        # e.g. "15.9(3)M12": True
    },
    "IOS XE": {
        "17.15.4a": True
        # Add more as Cisco publishes/you confirm (e.g. "17.15.4b": True)
    }
}

¿Por qué una lista blanca? El aviso de Cisco remite a los administradores al Cisco Software Checker para conocer las compilaciones exactas afectadas/corregidas por tren/plataforma. Por tanto, el script peca de cauteloso: si una versión de Cisco IOS/IOS XE no está en la lista de corregidas, se marca como “Potentially Vulnerable” y debes verificarla en el comprobador.

Instalación de dependencias

Ubuntu/Debian

sudo add-apt-repository -y universe
sudo apt update
sudo apt install -y onesixtyone snmp python3

RHEL/Fedora (ejemplo)

# onesixtyone may be in EPEL; otherwise build from source
sudo dnf install -y net-snmp-utils python3 git make gcc
git clone https://github.com/trailofbits/onesixtyone.git
cd onesixtyone && make && sudo make install

Detalles de uso

1) Escaneo

printf "public\nprivate\n" > communities.txt
onesixtyone -c communities.txt 192.168.2.0/24 10.1.2.0/24 | tee snmp_raw.txt

Consejos:

• Añade -w 1 para reducir el tiempo de espera por host (más rápido), o elimínalo si ves timeouts.

• Para un banner directo de un solo host:

  root@kitploit:~

  snmpget -v2c -c public -t 1 -r 0 <IP> 1.3.6.1.2.1.1.1.0
  

2) Análisis (parsing)

python3 ios_cve20352_parser.py < snmp_raw.txt > parsed.csv
column -s, -t < parsed.csv | less -S

Seguridad y alcance

• Escanea únicamente redes que estés autorizado a evaluar.
• Mantén tasas conservadoras en enlaces lentos.
• Esto es una evaluación de exposición, no una explotación.

Solución de problemas

• Sin resultados / timeouts: Aumenta los timeouts, reduce la tasa, revisa las ACLs/firewalls para UDP/161.
• Dispositivo Cisco pero versión vacía: El banner puede estar truncado; consulta sysDescr.0 directamente con snmpget.
• Falsos negativos: Algunos dispositivos solo responden desde hosts de gestión autorizados; ejecuta desde un punto de observación permitido.

Contribuciones

• Añade versiones corregidas confirmadas a FIXED_WHITELIST.
• Se aceptan PRs para mejorar el análisis de banners y la detección de fabricante.

Licencia

EN

Este proyecto está bajo la Licencia MIT. Consulta el archivo LICENSE para ver el texto completo.

RU

El proyecto se distribuye bajo la Licencia MIT. El texto completo está en el archivo LICENSE.

RU — Verificación de exposición de CVE-2025-20352 (onesixtyone + parser)

Comprobación de exposición black-box rápida y segura para dispositivos Cisco IOS/IOS XE relacionada con CVE-2025-20352 (subsistema SNMP):

1. Escanea las subredes en busca de SNMP con onesixtyone y las comunidades por defecto.
2. Analiza los banners de sysDescr.0 con un script de Python: marca Cisco IOS/IOS XE y asigna el estado Fixed (si está en la lista blanca) o Potentially Vulnerable (verifícalo en Cisco Software Checker).

El proyecto no explota la vulnerabilidad. Solo identifica los dispositivos que responden a las comunidades SNMP por defecto y extrae la versión de sysDescr.0.

Inicio rápido

# 0) Клонирование
git clone https://github.com/scadastrangelove/CVE-2025-20352 cve-2025-20352-scan
cd cve-2025-20352-scan

# 1) Зависимости (Ubuntu/Debian)
sudo add-apt-repository -y universe
sudo apt update
sudo apt install -y onesixtyone snmp python3

# 2) Файл сообществ
printf "public\nprivate\n" > communities.txt

# 3) Сканирование подсетей (ИЗМЕНИТЕ ПОД СЕБЯ!)
onesixtyone -c communities.txt 192.168.2.0/24 10.1.2.0/24 | tee snmp_raw.txt

# 4) Парсинг в CSV
python3 ios_cve20352_parser.py < snmp_raw.txt > parsed.csv

# 5) Просмотр
column -s, -t < parsed.csv | less -S

Salida

Columnas de parsed.csv:

• ip — dirección IP
• community — comunidad SNMP que funcionó
• vendor — Cisco / Non-Cisco
• os_family — IOS, IOS XE o vacío
• version — cadena de versión del banner
• status — Fixed, Potentially Vulnerable (verifícalo en Cisco Software Checker) o Not Cisco / Not IOS
• raw — línea original del banner

Ejemplo

ip,community,vendor,os_family,version,status,raw
1.1.2.4,public,Cisco,IOS,15.5(3)S2,Potentially Vulnerable — IOS 15.5(3)S2; verify in Cisco Software Checker,"Cisco IOS Software, ASR1000 ... Version 15.5(3)S2 ..."
1.1.2.2,public,Non-Cisco,,,Not Cisco / Not IOS,RouterOS RB750r2

El parser

ios_cve20352_parser.py lee líneas como las siguientes:

<ip> [<community>] <sysDescr...>

Extrae las versiones de Cisco IOS/IOS XE y asigna el estado.

Las versiones corregidas (Fixed) se enumeran en la lista blanca interna:

FIXED_WHITELIST = {
    "IOS": {
        # Добавляйте точные версии IOS 15.x после проверки в Cisco Software Checker
        # напр. "15.9(3)M12": True
    },
    "IOS XE": {
        "17.15.4a": True
        # Дополняйте по мере публикаций/подтверждений (напр. "17.15.4b": True)
    }
}

¿Por qué una lista blanca? El aviso de Cisco recomienda verificar las compilaciones concretas a través del Cisco Software Checker. Por lo tanto, si una versión de IOS/IOS XE no se encuentra en la lista de Fixed, el script la marca como “Potentially Vulnerable”; verifícala luego en el comprobador.

Instalación de dependencias

Ubuntu/Debian

sudo add-apt-repository -y universe
sudo apt update
sudo apt install -y onesixtyone snmp python3

RHEL/Fedora (ejemplo)

# onesixtyone может быть в EPEL; иначе соберите из исходников
sudo dnf install -y net-snmp-utils python3 git make gcc
git clone https://github.com/trailofbits/onesixtyone.git
cd onesixtyone && make && sudo make install

Uso

1) Escaneo

printf "public\nprivate\n" > communities.txt
onesixtyone -c communities.txt 192.168.2.0/24 10.1.2.0/24 | tee snmp_raw.txt

Consejos:

• El parámetro -w 1 acelera el sondeo; elimínalo si ves timeouts.

• Banner directo para un host:

  root@kitploit:~

  snmpget -v2c -c public -t 1 -r 0 <IP> 1.3.6.1.2.1.1.1.0
  

2) Análisis (parsing)

python3 ios_cve20352_parser.py < snmp_raw.txt > parsed.csv
column -s, -t < parsed.csv | less -S

Seguridad y alcance

• Escanea únicamente redes autorizadas.
• En enlaces lentos, reduce la intensidad.
• Esto es una evaluación de exposición, no una explotación.

Solución de problemas

• Sin resultados / timeouts: aumenta los timeouts, reduce la velocidad, revisa las ACL/firewalls para UDP/161.
• Cisco sin versión: el banner podría estar truncado; consulta sysDescr.0 directamente con snmpget.
• Falsos negativos: algunos dispositivos solo responden a hosts de confianza; ejecuta desde un punto autorizado.

Contribuciones

• Completa FIXED_WHITELIST con versiones corregidas confirmadas.
• Se aceptan pull requests: mejora del parsing y la detección del fabricante.

Licencia

EN

Este proyecto está bajo la Licencia MIT.

RU

El proyecto se distribuye bajo la Licencia MIT.