CVE-2025-20352 Verificação de Exposição SNMP (onesixtyone + parser)

Verificação de exposição black-box rápida e segura para dispositivos Cisco IOS/IOS XE relacionados à CVE-2025-20352 (subsistema SNMP):

1. Digitalize suas sub-redes para SNMP usando o onesixtyone com comunidades padrão.
2. Analise os banners sysDescr.0 com um pequeno script Python para sinalizar Cisco IOS/IOS XE e marcar versões como Corrigido (se na lista de permissões) ou Potencialmente Vulnerável (verifique no Cisco Software Checker).

Este projeto não explora nada. Ele apenas identifica dispositivos que respondem a comunidades SNMP padrão e extrai informações de versão de sysDescr.0.

Início rápido

# 0) Clone este repositório
git clone https://github.com/scadastrangelove/CVE-2025-20352 cve-2025-20352-scan
cd cve-2025-20352-scan

# 1) Instale as dependências (Ubuntu/Debian)
sudo add-apt-repository -y universe
sudo apt update
sudo apt install -y onesixtyone snmp python3

# 2) Crie uma lista de comunidades com as padrão
printf "public\nprivate\n" > communities.txt

# 3) Digitalize suas sub-redes (EDITAR ESTAS!)
onesixtyone -c communities.txt 192.168.2.0/24 10.1.2.0/24 | tee snmp_raw.txt

# 4) Analise os resultados para CSV
python3 ios_cve20352_parser.py < snmp_raw.txt > parsed.csv

# 5) Visualize corretamente
column -s, -t < parsed.csv | less -S

Saída

Colunas do parsed.csv:

• ip — IP alvo
• community — comunidade SNMP que funcionou
• vendor — Cisco / Não-Cisco
• os_family — IOS, IOS XE ou vazio
• version — string de versão extraída do banner
• status — Corrigido, Potencialmente Vulnerável (verifique no Cisco Software Checker), ou Não é Cisco / Não é IOS
• raw — linha original do banner

Exemplo

ip,community,vendor,os_family,version,status,raw
1.1.2.4,public,Cisco,IOS,15.5(3)S2,Potencialmente Vulnerável — IOS 15.5(3)S2; verifique no Cisco Software Checker,"Cisco IOS Software, ASR1000 ... Version 15.5(3)S2 ..."
1.1.2.2,public,Não-Cisco,,,Não é Cisco / Não é IOS,RouterOS RB750r2

O script analisador

ios_cve20352_parser.py lê da entrada padrão (ou de um arquivo) linhas como:

<ip> [<comunidade>] <sysDescr...>

Ele extrai versões Cisco IOS/IOS XE e as rotula.

Versões corrigidas residem em uma lista de permissões interna no script:

FIXED_WHITELIST = {
    "IOS": {
        # Adicione versões exatas corrigidas do IOS 15.x que você confirmar via Cisco Software Checker
        # ex.: "15.9(3)M12": True
    },
    "IOS XE": {
        "17.15.4a": True
        # Adicione mais conforme a Cisco publicar/ você confirmar (ex.: "17.15.4b": True)
    }
}

Por que uma lista de permissões? O aviso da Cisco orienta os administradores a usar o Cisco Software Checker para descobrir as versões exatas afetadas/corrigidas por trilha/plataforma. O script, portanto, peca pelo lado seguro: se uma versão Cisco IOS/IOS XE não estiver na lista de corrigidas, é marcada como "Potencialmente Vulnerável" e você deve verificá-la no verificador.

Instalando dependências

Ubuntu/Debian

sudo add-apt-repository -y universe
sudo apt update
sudo apt install -y onesixtyone snmp python3

RHEL/Fedora (exemplo)

# onesixtyone pode estar no EPEL; caso contrário, compile da fonte
sudo dnf install -y net-snmp-utils python3 git make gcc
git clone https://github.com/trailofbits/onesixtyone.git
cd onesixtyone && make && sudo make install

Detalhes de uso

1) Digitalizando

printf "public\nprivate\n" > communities.txt
onesixtyone -c communities.txt 192.168.2.0/24 10.1.2.0/24 | tee snmp_raw.txt

Dicas:

• Adicione -w 1 para diminuir o tempo de espera por host (mais rápido), ou remova se perceber timeouts.

• Para um banner direto de host único:

  root@kitploit:~

  snmpget -v2c -c public -t 1 -r 0 <IP> 1.3.6.1.2.1.1.1.0
  

2) Analisando

python3 ios_cve20352_parser.py < snmp_raw.txt > parsed.csv
column -s, -t < parsed.csv | less -S

Segurança e escopo

• Digitalize apenas redes que você está autorizado a avaliar.
• Mantenha taxas conservadoras em links lentos.
• Esta é uma avaliação de exposição, não exploração.

Solução de problemas

• Sem resultados / timeouts: Aumente os timeouts, reduza a taxa, verifique ACLs/firewalls para UDP/161.
• Dispositivo Cisco mas versão vazia: O banner pode estar truncado; consulte sysDescr.0 diretamente com snmpget.
• Falsos negativos: Alguns dispositivos só respondem de hosts de gerenciamento permitidos — execute de um ponto de vantagem autorizado.

Contribuindo

• Adicione versões corrigidas confirmadas a FIXED_WHITELIST.
• PRs são bem-vindos para melhorar a análise de banners e detecção de fornecedor.

Licença

EN

Este projeto está licenciado sob a Licença MIT. Consulte o arquivo LICENSE para o texto completo.

RU

O projeto é distribuído sob a licença MIT. O texto completo está no arquivo LICENSE.

RU — Verificação de Exposição CVE-2025-20352 (onesixtyone + parser)

Avaliação de exposição rápida e segura de dispositivos Cisco IOS/IOS XE relacionada à CVE-2025-20352 (subsistema SNMP):

1. Digitalizamos sub-redes para SNMP através do onesixtyone com comunidades padrão.
2. Analisamos os banners sysDescr.0 com um script Python: marcamos Cisco IOS/IOS XE e atribuímos status Corrigido (se na lista de permissões) ou Potencialmente Vulnerável (verifique no Cisco Software Checker).

O projeto não explora a vulnerabilidade. Ele apenas determina dispositivos que respondem a comunidades SNMP padrão e extrai a versão de sysDescr.0.

Início rápido

# 0) Clonagem
git clone https://github.com/scadastrangelove/CVE-2025-20352 cve-2025-20352-scan
cd cve-2025-20352-scan

# 1) Dependências (Ubuntu/Debian)
sudo add-apt-repository -y universe
sudo apt update
sudo apt install -y onesixtyone snmp python3

# 2) Arquivo de comunidades
printf "public\nprivate\n" > communities.txt

# 3) Digitalização de sub-redes (ALTERE PARA SUAS!)
onesixtyone -c communities.txt 192.168.2.0/24 10.1.2.0/24 | tee snmp_raw.txt

# 4) Análise para CSV
python3 ios_cve20352_parser.py < snmp_raw.txt > parsed.csv

# 5) Visualização
column -s, -t < parsed.csv | less -S

Dados de saída

Colunas do parsed.csv:

• ip — Endereço IP
• community — Comunidade SNMP que funcionou
• vendor — Cisco / Não-Cisco
• os_family — IOS, IOS XE ou vazio
• version — String de versão do banner
• status — Corrigido, Potencialmente Vulnerável (verifique no Cisco Software Checker) ou Não é Cisco / Não é IOS
• raw — String original do banner

Exemplo

ip,community,vendor,os_family,version,status,raw
1.1.2.4,public,Cisco,IOS,15.5(3)S2,Potencialmente Vulnerável — IOS 15.5(3)S2; verifique no Cisco Software Checker,"Cisco IOS Software, ASR1000 ... Version 15.5(3)S2 ..."
1.1.2.2,public,Não-Cisco,,,Não é Cisco / Não é IOS,RouterOS RB750r2

Analisador

ios_cve20352_parser.py lê linhas do tipo:

<ip> [<comunidade>] <sysDescr...>

Extrai versões Cisco IOS/IOS XE e atribui status.

Versões corrigidas são listadas na lista de permissões interna:

FIXED_WHITELIST = {
    "IOS": {
        # Adicione versões exatas corrigidas do IOS 15.x após verificação no Cisco Software Checker
        # ex.: "15.9(3)M12": True
    },
    "IOS XE": {
        "17.15.4a": True
        # Complemente conforme publicações/confirmações (ex.: "17.15.4b": True)
    }
}

Por que uma lista de permissões? Na descrição, a Cisco sugere verificar compilações específicas através do Cisco Software Checker. Portanto, se a versão IOS/IOS XE não for encontrada na lista Corrigido, o script marca como “Potencialmente Vulnerável”, e você deve verificá-la no verificador.

Instalação de dependências

Ubuntu/Debian

sudo add-apt-repository -y universe
sudo apt update
sudo apt install -y onesixtyone snmp python3

RHEL/Fedora (exemplo)

# onesixtyone pode estar no EPEL; caso contrário, compile da fonte
sudo dnf install -y net-snmp-utils python3 git make gcc
git clone https://github.com/trailofbits/onesixtyone.git
cd onesixtyone && make && sudo make install

Uso

1) Digitalização

printf "public\nprivate\n" > communities.txt
onesixtyone -c communities.txt 192.168.2.0/24 10.1.2.0/24 | tee snmp_raw.txt

Dicas:

• O parâmetro -w 1 acelera a consulta; remova se perceber timeouts.

• Banner pontual para nó:

  root@kitploit:~

  snmpget -v2c -c public -t 1 -r 0 <IP> 1.3.6.1.2.1.1.1.0
  

2) Análise

python3 ios_cve20352_parser.py < snmp_raw.txt > parsed.csv
column -s, -t < parsed.csv | less -S

Segurança e limites

• Digitalize apenas redes autorizadas.
• Em links lentos, reduza a intensidade.
• Isto é avaliação de exposição, não exploração.

Resolução de problemas

• Vazio/timeouts: Aumente os timeouts, reduza a velocidade, verifique ACLs/firewalls para UDP/161.
• Cisco sem versão: O banner pode estar truncado — consulte sysDescr.0 diretamente via snmpget.
• Falsos negativos: Alguns dispositivos respondem apenas a hosts confiáveis — execute de um ponto autorizado.

Contribuição

• Complemente FIXED_WHITELIST com versões corrigidas confirmadas.
• Pull requests são bem-vindos: melhoria da análise e detecção de fornecedor.

Licença

EN

Este projeto está licenciado sob a Licença MIT.

RU

O projeto é distribuído sob a licença MIT.