Поделиться
Опасная «дыра» в ПО Cisco уже используется. Последствия могут быть серьезными
Cisco сообщает о практических атаках на уязвимость нулевого дня в IOS и IOS XE, вызванную переполнением стека в протоколе SNMP. Воспользоваться уязвимостью не так-то просто, но последствия могут быть серьезными
DoS, RCE, далее везде
Корпорация Cisco объявила о выявлении серьезной уязвимости в своем ПО IOS и IOS XE - CVE-2025-20352. Успешная эксплуатация данного «бага» может вызвать отказ в обслуживании в соответствующем оборудовании или открыть возможность для запуска произвольного кода.
В Cisco подчеркнули, что им уже известно об атаках с использованием уязвимости CVE-2025-20352. Атаке предшествовала «компрометация учетных данных локального администратора».
Уязвимость получила оценку 7,7 балла по шкале CVSS, что соответствует серьезному (но не критическому) уровню угрозы. Источником проблемы является подсистема простого протокола сетевого управления (SNMP), а конкретнее - ошибка переполнения стека.
Аутентифицированный удаленный злоумышленник может воспользоваться уязвимостью, отправив специально созданный SNMP-пакет на уязвимое устройство по сетям IPv4 или IPv6, что приведет к DoS-атаке, если у него низкие привилегии, или к выполнению произвольного кода от имени root, если у него высокие привилегии. В конечном итоге это позволит ему получить контроль над уязвимой системой.
Однако это возможно только при соблюдении ряда условий. Чтобы вызвать состояние отказа потенциальный злоумышленник должен или знать идентификатор community string к протоколу SNMPv2c, или располагать действующими реквизитами доступа к протоколу SNMPv3.
Чтобы запустить произвольный код, злоумышленнику нужны либо идентификаторы community string SNMPv1 или v2c, либо действующие реквизиты доступа SNMPv3, либо доступом к учетной записи администратора или привилегированных пользователей. Уязвимость позволяет запустить произвольный код с правами root.
Затронуты все версии
Вендор подчеркивает, что проблема затрагивает все версии SNMP, в том числе реализации в коммутаторах Meraki MS390 и Cisco Catalyst серии 9300 под управлением Meraki CS 17 и раннее.
«Эта уязвимость затрагивает все версии SNMP. Все устройства, на которых включен SNMP и не был явно исключен уязвимый идентификатор объекта (OID), следует считать уязвимыми», — заявили в Cisco.
Хотя промежуточного решения проблемы с уязвимостью CVE-2025-20352 не существует, компания Cisco предлагает один из способов снизить ее остроту: разрешить доступ SNMP к уязвимой системе только доверенным пользователям и осуществлять мониторинг систем с помощью команды «show snmp host».
«Администраторы могут отключить соответствующие OID на устройстве», — добавили в компании. «Поддержка OID, указанного в мерах по устранению уязвимости, реализована не во всех программных пакетах. Если OID недействителен для конкретного программного обеспечения, то оно не подвержено этой уязвимости. Исключение этих OID может повлиять на управление устройством через SNMP, например, на обнаружение и инвентаризацию оборудования».
Типичная история, когда трудноэксплуатируемая, в сущности, уязвимость оказывается значительной проблемой из-за широкого распространения уязвимого продукта, - говорит Никита Павлов, эксперт по информационной безопасности компании SEQ. - Хакерам требуется приложить существенные усилия для того, чтобы вызвать состояние отказа или добиться выполнения исходного кода в уязвимой системе. Однако если на той стороне - профессионалы, то выудить административный пароль или другие привилегированные реквизиты для них будет лишь вопросом времени.
Проблема была исправлена обновлением IOS XE 17.15.4a. Cisco IOS XR и NX-OS уязвимости не содержат.
Поделиться
Короткая ссылка
