CVE-2023-20198

CVE-2023-20198 Скрипт проверки на основе: https://blog.talosintelligence.com/active-exploitation-of-cisco-ios-xe-software/ Включая обновление, где есть заголовок Authorization для проверки известной импланта.

!! Обновлён для поиска обновлённой импланты.

Скрипт проверяет длину ответа с кодом 200 и сравнивает, короче ли она 32 символов. Каждый IP-адрес, возвращающий длину менее 32 символов, следует проверить на предмет компрометации устройства. Этот скрипт даёт только индикатор, а не доказательство компрометации устройства.

Скрипт также проверяет, была ли импланта обновлена, как обнаружено Fox-IT: https://github.com/fox-it/cisco-ios-xe-implant-detection

Запуск:

python cve-2023-20198.py


and enter you desired subnet to scan. For example:

python CVE-2023-20198


Enter the subnet (CIDR notation): 10.0.0.0/22

IP: 10.0.0.94 - Error: no reply

IP: 10.0.0.94 - Error: no reply

IP: 10.0.0.96 - Status: 200

IP: 10.0.0.96 - Response is a potentially suspicious: 


IPs with status code 200, suspicious length, should be checked:

['10.0.0.96']

IPs with status code 200, but no IOC:

[]