SecBoard
Zurück zur CVE-Übersicht

CVE-2025-20352

HIGH(7.7)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H

Risk Signal Score62/100 — HOCH
  • CVSS 7.7 — Hoch
  • EPSS 42%
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

41.5%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

7.7

Technische Schwere

SecBoard-Einordnung

CVE-2025-20352 ist eine kritische Schwachstelle im SNMP-Subsystem von Cisco IOS XE SD-WAN Software, die auf einem Stack-Overflow basiert. Ein authentifizierter Angreifer mit geringen Privilegien kann eine Denial-of-Service-Bedingung (DoS) auslösen, die das System zum Neustart zwingt. Ein Angreifer mit hohen Privilegien kann sogar beliebigen Code als Root ausführen und somit die vollständige Kontrolle über das betroffene System erlangen. Die Schwachstelle betrifft alle SNMP-Versionen. Diese Schwachstelle ist als hochkritisch einzustufen ( 7.7) und wird laut bereits aktiv ausgenutzt, was eine sofortige Reaktion erfordert. Die EPSS-Bewertung von 39% unterstreicht die erhöhte Wahrscheinlichkeit einer Ausnutzung. Die aktive Ausnutzung macht diese Schwachstelle zu einem dringenden Risiko für betroffene Cisco IOS XE SD-WAN Umgebungen. Security-Teams sollten umgehend alle betroffenen Cisco IOS XE SD-WAN Versionen prüfen und verfügbare Patches schnellstmöglich einspielen. Falls keine Patches verfügbar sind, müssen geeignete Mitigationen wie die Einschränkung des SNMP-Zugriffs oder die Deaktivierung von SNMP in Betracht gezogen werden, um das Risiko zu minimieren und die Systeme zu schützen.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

A vulnerability in the Simple Network Management Protocol (SNMP) subsystem of Cisco IOS Software and Cisco IOS XE Software could allow the following: An authenticated, remote attacker with low privileges could cause a denial of service (DoS) condition on an affected device that is running Cisco IOS Software or Cisco IOS XE Software. To cause the DoS, the attacker must have the SNMPv2c or earlier read-only community string or valid SNMPv3 user credentials. An authenticated, remote attacker with high privileges could execute code as the root user on an affected device that is running Cisco IOS XE Software. To execute code as the root user, the attacker must have the SNMPv1 or v2c read-only community string or valid SNMPv3 user credentials and administrative or privilege 15 credentials on the affected device. An attacker could exploit this vulnerability by sending a crafted SNMP packet to an affected device over IPv4 or IPv6 networks. This vulnerability is due to a stack overflow condition in the SNMP subsystem of the affected software. A successful exploit could allow a low-privileged attacker to cause the affected system to reload, resulting in a DoS condition, or allow a high-privileged attacker to execute arbitrary code as the root user and obtain full control of the affected system. Note: This vulnerability affects all versions of SNMP.

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV). Cisco has released software updates that addresses this vulnerability.

Threat-Hunting-Queries

This vulnerability is due to a stack overflow condition in the SNMP subsystem. Detection should focus on unusual SNMP packet sizes or malformed SNMP requests that lead to system reloads or unexpected process behavior.

Sentinel/Defender KQL

DeviceNetworkEvents
| where Protocol == "UDP" and DestinationPort == 161 // Standard SNMP port
| where RemoteIP !in ("10.0.0.0/8", "172.16.0.0/12", "192.168.0.0/16") // Exclude private IPs
| summarize PacketCount = count(), TotalBytes = sum(TotalBytes) by DeviceName, RemoteIP, bin(Timestamp, 5m)
| where TotalBytes > 100000 or PacketCount > 1000 // Example: unusually large SNMP traffic or high packet count
| project DeviceName, RemoteIP, PacketCount, TotalBytes, Timestamp
// Further investigation needed for specific SNMP trap/request anomalies or system reloads after SNMP activity.

Splunk SPL

index=* sourcetype=cisco_ios (port=161 OR port=162) (protocol=udp) NOT (src_ip=10.0.0.0/8 OR src_ip=172.16.0.0/12 OR src_ip=192.168.0.0/16)
| stats count as PacketCount, sum(bytes) as TotalBytes by host, src_ip, _time
| where TotalBytes > 100000 OR PacketCount > 1000
| table _time, host, src_ip, PacketCount, TotalBytes
// Consider adding alerts for system reloads or crashes correlated with SNMP activity.

Sigma

title: Cisco IOS/IOS XE SNMP Stack Overflow Attempt
id: 9a1b2c3d-4e5f-6789-abcd-ef0123456789
status: experimental
description: Detects potential attempts to exploit CVE-2025-20352 in Cisco IOS/IOS XE devices via anomalous SNMP traffic.
author: SecBoard
date: 2025/09/24
logsource:
  product: network
  service: snmp
detection:
  selection:
    dst_port: 161
    protocol: udp
    source_ip|!startswith: # Private IP ranges
      - '10.'
      - '172.16.'
      - '192.168.'
  condition: selection | stats count() as packet_count, sum(size) as total_bytes by source_ip, destination_ip | where total_bytes > 100000 or packet_count > 1000
  timeframe: 5m
level: high

Elastic ES|QL

from network
| where destination.port == 161 and network.transport == "udp"
| where not cidrMatch(["10.0.0.0/8", "172.16.0.0/12", "192.168.0.0/16"], source.ip)
| summarize packet_count = count(), total_bytes = sum(network.bytes) by host.name, source.ip, bin(event.timestamp, 5m)
| where total_bytes > 100000 or packet_count > 1000
| project event.timestamp, host.name, source.ip, packet_count, total_bytes
// Correlate with system logs for reloads or crashes.

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:o:cisco:ios_xe_sd-wan:16.9.1:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:ios_xe_sd-wan:16.9.2:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:ios_xe_sd-wan:16.9.3:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:ios_xe_sd-wan:16.9.4:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:ios_xe_sd-wan:16.10.1:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:ios_xe_sd-wan:16.10.2:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:ios_xe_sd-wan:16.10.3:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:ios_xe_sd-wan:16.10.3a:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:ios_xe_sd-wan:16.10.3b:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:ios_xe_sd-wan:16.10.4:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:ios_xe_sd-wan:16.10.5:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:ios_xe_sd-wan:16.10.6:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:ios_xe_sd-wan:16.11.1a:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:ios_xe_sd-wan:16.12.1b:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:ios_xe_sd-wan:16.12.1d:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:ios_xe_sd-wan:16.12.1e:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:ios_xe_sd-wan:16.12.2r:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:ios_xe_sd-wan:16.12.3:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:ios_xe_sd-wan:16.12.4:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:ios_xe_sd-wan:16.12.4a:*:*:*:*:*:*:*

Referenzen