CVE-2025-20352 Vérification de l'exposition SNMP (onesixtyone + parseur)

CVE-2025-20352 logo

Vérification d'exposition black-box rapide et non intrusive pour les équipements Cisco IOS/IOS XE liés à CVE-2025-20352 (sous-système SNMP) :

Scannez vos sous-réseaux à la recherche de SNMP à l'aide de onesixtyone avec les communautés par défaut.
Analysez les bannières sysDescr.0 à l'aide d'un petit script Python pour repérer les équipements Cisco IOS/IOS XE et marquer les versions comme Fixed (si elles figurent sur la liste blanche) ou Potentially Vulnerable (à vérifier dans Cisco Software Checker).

Ce projet n'exploite rien. Il identifie uniquement les équipements qui répondent aux communautés SNMP par défaut et extrait les informations de version de sysDescr.0.

Démarrage rapide

# 0) Clone this repo
git clone https://github.com/scadastrangelove/CVE-2025-20352 cve-2025-20352-scan
cd cve-2025-20352-scan

# 1) Install dependencies (Ubuntu/Debian)
sudo add-apt-repository -y universe
sudo apt update
sudo apt install -y onesixtyone snmp python3

# 2) Create a small community list with defaults
printf "public\nprivate\n" > communities.txt

# 3) Scan your subnets (EDIT THESE!)
onesixtyone -c communities.txt 192.168.2.0/24 10.1.2.0/24 | tee snmp_raw.txt

# 4) Parse the results to CSV
python3 ios_cve20352_parser.py < snmp_raw.txt > parsed.csv

# 5) View nicely
column -s, -t < parsed.csv | less -S

Sortie

Colonnes de parsed.csv :

ip — adresse IP cible
community — communauté SNMP qui a fonctionné
vendor — Cisco / Non-Cisco
os_family — IOS, IOS XE, ou vide
version — chaîne de version extraite de la bannière
status — Fixed, Potentially Vulnerable (à vérifier dans Cisco Software Checker) ou Not Cisco / Not IOS
raw — ligne de bannière d'origine

Exemple

ip,community,vendor,os_family,version,status,raw
1.1.2.4,public,Cisco,IOS,15.5(3)S2,Potentially Vulnerable — IOS 15.5(3)S2; verify in Cisco Software Checker,"Cisco IOS Software, ASR1000 ... Version 15.5(3)S2 ..."
1.1.2.2,public,Non-Cisco,,,Not Cisco / Not IOS,RouterOS RB750r2

Le script d'analyse

ios_cve20352_parser.py lit depuis l'entrée standard (ou un fichier) des lignes de la forme :

<ip> [<community>] <sysDescr...>

Il extrait les versions Cisco IOS/IOS XE et leur attribue un statut.

Les versions corrigées (Fixed) figurent dans une petite liste blanche intégrée au script :

FIXED_WHITELIST = {
    "IOS": {
        # Add exact IOS 15.x fixed versions you confirm via Cisco Software Checker
        # e.g. "15.9(3)M12": True
    },
    "IOS XE": {
        "17.15.4a": True
        # Add more as Cisco publishes/you confirm (e.g. "17.15.4b": True)
    }
}

Pourquoi une liste blanche ? L'avis de sécurité de Cisco renvoie les administrateurs au Cisco Software Checker pour déterminer les builds exactes affectées/corrigées par train/plateforme. Le script fait donc preuve de prudence : si une version Cisco IOS/IOS XE ne figure pas dans la liste des versions corrigées, elle est marquée “Potentially Vulnerable” et vous devez vérifier la version dans Cisco Software Checker.

Installation des dépendances

Ubuntu/Debian

sudo add-apt-repository -y universe
sudo apt update
sudo apt install -y onesixtyone snmp python3

RHEL/Fedora (exemple)

# onesixtyone may be in EPEL; otherwise build from source
sudo dnf install -y net-snmp-utils python3 git make gcc
git clone https://github.com/trailofbits/onesixtyone.git
cd onesixtyone && make && sudo make install

Détails d'utilisation

1) Scan

printf "public\nprivate\n" > communities.txt
onesixtyone -c communities.txt 192.168.2.0/24 10.1.2.0/24 | tee snmp_raw.txt

Conseils :

Ajoutez -w 1 pour réduire le temps d'attente par hôte (plus rapide), ou retirez-le si vous constatez des timeouts.
Pour obtenir la bannière directe d'un seul hôte :
```
snmpget -v2c -c public -t 1 -r 0 <IP> 1.3.6.1.2.1.1.1.0
```

2) Parsing

python3 ios_cve20352_parser.py < snmp_raw.txt > parsed.csv
column -s, -t < parsed.csv | less -S

Sécurité et périmètre

Ne scannez que les réseaux que vous êtes autorisé à évaluer.
Sur les liaisons lentes, conservez une cadence modérée.
Il s'agit d'une évaluation d'exposition, et non d'une exploitation.

Dépannage

Aucun résultat / timeouts : augmentez les délais d'attente, réduisez la cadence, vérifiez les ACL/pare-feux pour l'UDP/161.
Équipement Cisco mais version vide : la bannière peut être tronquée ; interrogez directement sysDescr.0 avec snmpget.
Faux négatifs : certains équipements ne répondent qu'aux hôtes de gestion autorisés — lancez l'analyse depuis un point de vue autorisé.

Contribution

Ajoutez les versions corrigées confirmées à FIXED_WHITELIST.
Les pull requests sont les bienvenues pour améliorer l'analyse des bannières et la détection du constructeur.

Licence

EN

Ce projet est sous licence MIT. Consultez le fichier LICENSE pour le texte intégral.

RU

Ce projet est distribué sous licence MIT. Le texte intégral figure dans le fichier LICENSE.

RU — Vérification de l'exposition CVE-2025-20352 (onesixtyone + parseur)

Évaluation d'exposition rapide et non intrusive des équipements Cisco IOS/IOS XE, liée à CVE-2025-20352 (sous-système SNMP) :

Scannons les sous-réseaux à la recherche de SNMP via onesixtyone avec les communautés par défaut.
Analysons les bannières sysDescr.0 avec un script Python : nous repérons les équipements Cisco IOS/IOS XE et attribuons le statut Fixed (s'ils figurent sur la liste blanche) ou Potentially Vulnerable (à vérifier dans Cisco Software Checker).

Le projet n'exploite pas la vulnérabilité. Il se contente d'identifier les équipements qui répondent aux communautés SNMP par défaut et d'extraire la version de sysDescr.0.

Démarrage rapide

# 0) Клонирование
git clone https://github.com/scadastrangelove/CVE-2025-20352 cve-2025-20352-scan
cd cve-2025-20352-scan

# 1) Зависимости (Ubuntu/Debian)
sudo add-apt-repository -y universe
sudo apt update
sudo apt install -y onesixtyone snmp python3

# 2) Файл сообществ
printf "public\nprivate\n" > communities.txt

# 3) Сканирование подсетей (ИЗМЕНИТЕ ПОД СЕБЯ!)
onesixtyone -c communities.txt 192.168.2.0/24 10.1.2.0/24 | tee snmp_raw.txt

# 4) Парсинг в CSV
python3 ios_cve20352_parser.py < snmp_raw.txt > parsed.csv

# 5) Просмотр
column -s, -t < parsed.csv | less -S

Sortie

Colonnes de parsed.csv :

ip — adresse IP
community — communauté SNMP ayant répondu
vendor — Cisco / Non-Cisco
os_family — IOS, IOS XE, ou vide
version — chaîne de version extraite de la bannière
status — Fixed, Potentially Vulnerable (à vérifier dans Cisco Software Checker) ou Not Cisco / Not IOS
raw — ligne de bannière d'origine

Exemple

ip,community,vendor,os_family,version,status,raw
1.1.2.4,public,Cisco,IOS,15.5(3)S2,Potentially Vulnerable — IOS 15.5(3)S2; verify in Cisco Software Checker,"Cisco IOS Software, ASR1000 ... Version 15.5(3)S2 ..."
1.1.2.2,public,Non-Cisco,,,Not Cisco / Not IOS,RouterOS RB750r2

Le script d'analyse

ios_cve20352_parser.py lit des lignes de la forme :

<ip> [<community>] <sysDescr...>

Il extrait les versions Cisco IOS/IOS XE et attribue un statut.

Les versions corrigées (Fixed) figurent dans une liste blanche interne :

FIXED_WHITELIST = {
    "IOS": {
        # Добавляйте точные версии IOS 15.x после проверки в Cisco Software Checker
        # напр. "15.9(3)M12": True
    },
    "IOS XE": {
        "17.15.4a": True
        # Дополняйте по мере публикаций/подтверждений (напр. "17.15.4b": True)
    }
}

Pourquoi une liste blanche ? L'avis de Cisco suggère de vérifier les builds exactes via le Cisco Software Checker. Par conséquent, si une version IOS/IOS XE ne figure pas dans la liste Fixed, le script la marque “Potentially Vulnerable” ; vérifiez-la ensuite dans Cisco Software Checker.

Installation des dépendances

Ubuntu/Debian

sudo add-apt-repository -y universe
sudo apt update
sudo apt install -y onesixtyone snmp python3

RHEL/Fedora (exemple)

# onesixtyone может быть в EPEL; иначе соберите из исходников
sudo dnf install -y net-snmp-utils python3 git make gcc
git clone https://github.com/trailofbits/onesixtyone.git
cd onesixtyone && make && sudo make install

Utilisation

1) Scan

printf "public\nprivate\n" > communities.txt
onesixtyone -c communities.txt 192.168.2.0/24 10.1.2.0/24 | tee snmp_raw.txt

Conseils :

Le paramètre -w 1 accélère l'interrogation ; retirez-le si vous constatez des timeouts.

Bannière directe pour un seul hôte :

snmpget -v2c -c public -t 1 -r 0 <IP> 1.3.6.1.2.1.1.1.0

2) Parsing

python3 ios_cve20352_parser.py < snmp_raw.txt > parsed.csv
column -s, -t < parsed.csv | less -S

Sécurité et limites

Ne scannez que les réseaux autorisés.
Sur les liaisons lentes, réduisez l'intensité.
Il s'agit d'une évaluation d'exposition, et non d'une exploitation.

Dépannage

Aucun résultat / timeouts : augmentez les délais d'attente, réduisez la vitesse, vérifiez les ACL/pare-feux pour l'UDP/161.
Équipement Cisco sans version : la bannière a pu être tronquée — interrogez sysDescr.0 directement via snmpget.
Faux négatifs : certains équipements ne répondent qu'aux hôtes de confiance — lancez l'analyse depuis un point de vue autorisé.

Contribution

Complétez FIXED_WHITELIST avec les versions corrigées confirmées.
Les pull requests sont les bienvenues : amélioration de l'analyse des bannières et de la détection du constructeur.

CVE-2025-20352

Populaires

CVE-2025-20352 Vérification de l'exposition SNMP (onesixtyone + parseur)

Démarrage rapide

Sortie

Le script d'analyse

Installation des dépendances

Ubuntu/Debian

RHEL/Fedora (exemple)

Détails d'utilisation

1) Scan

2) Parsing

Sécurité et périmètre

Dépannage

Contribution

Licence

EN

RU

RU — Vérification de l'exposition CVE-2025-20352 (onesixtyone + parseur)

Démarrage rapide

Sortie

Le script d'analyse

Installation des dépendances

Ubuntu/Debian

RHEL/Fedora (exemple)

Utilisation

1) Scan

2) Parsing

Sécurité et limites

Dépannage

Contribution

Licence

EN

RU