Cisco Cảnh báo về lỗ hổng SNMP đang bị khai thác tích cực cho phép RCE hoặc DoS trong IOS Software

Cisco đã cảnh báo về một lỗ hổng bảo mật mức độ nghiêm trọng cao trong IOS Software và IOS XE Software có thể cho phép kẻ tấn công từ xa thực thi mã tùy ý (RCE) hoặc gây ra tình trạng từ chối dịch vụ (DoS) trong những trường hợp cụ thể.

Công ty cho biết lỗ hổng, CVE-2025-20352 (điểm CVSS: 7.7), đã bị khai thác trong thực tế, và họ biết được điều này "sau khi thông tin đăng nhập Administrator cục bộ bị xâm phạm."

Vấn đề, theo hãng sản xuất thiết bị mạng này, nằm ở hệ thống con Simple Network Management Protocol (SNMP), phát sinh do điều kiện tràn bộ đệm (stack overflow).

Một kẻ tấn công từ xa đã được xác thực có thể khai thác lỗ hổng bằng cách gửi một gói tin SNMP được chế tạo đặc biệt đến một thiết bị bị ảnh hưởng qua mạng IPv4 hoặc IPv6, dẫn đến DoS nếu chúng có quyền truy cập thấp hoặc thực thi mã tùy ý (RCE) với quyền root nếu chúng có đặc quyền cao và cuối cùng chiếm quyền kiểm soát hệ thống dễ bị tổn thương.

Tuy nhiên, Cisco lưu ý rằng để điều này xảy ra, các điều kiện sau cần được đáp ứng -

• Để gây ra DoS, kẻ tấn công phải có chuỗi cộng đồng chỉ đọc (read-only community string) của SNMPv2c hoặc các phiên bản cũ hơn, hoặc thông tin đăng nhập người dùng SNMPv3 hợp lệ
• Để thực thi mã với quyền root, kẻ tấn công phải có chuỗi cộng đồng chỉ đọc của SNMPv1 hoặc v2c, hoặc thông tin đăng nhập người dùng SNMPv3 hợp lệ và thông tin đăng nhập quản trị (administrative) hoặc đặc quyền 15 (privilege 15 credentials) trên thiết bị bị ảnh hưởng

Công ty cho biết vấn đề này ảnh hưởng đến tất cả các phiên bản của SNMP, cũng như Meraki MS390 và Cisco Catalyst 9300 Series Switches đang chạy Meraki CS 17 trở về trước. Nó đã được khắc phục trong Cisco IOS XE Software Release 17.15.4a. Cisco IOS XR Software và NX-OS Software không bị ảnh hưởng.

"Lỗ hổng này ảnh hưởng đến tất cả các phiên bản của SNMP. Tất cả các thiết bị đã bật SNMP và chưa loại trừ rõ ràng Object ID (OID) bị ảnh hưởng đều nên được coi là dễ bị tấn công," Cisco cho biết.

Mặc dù không có biện pháp khắc phục tạm thời nào giải quyết được CVE-2025-20352, một biện pháp giảm thiểu được Cisco đề xuất là chỉ cho phép những người dùng đáng tin cậy có quyền truy cập SNMP trên hệ thống bị ảnh hưởng, và giám sát hệ thống bằng cách chạy lệnh "show snmp host".

"Các quản trị viên có thể vô hiệu hóa các OID bị ảnh hưởng trên một thiết bị," công ty nói thêm. "Không phải tất cả phần mềm đều hỗ trợ OID được liệt kê trong biện pháp giảm thiểu. Nếu OID không hợp lệ cho một phần mềm cụ thể, thì phần mềm đó không bị ảnh hưởng bởi lỗ hổng này. Việc loại trừ các OID này có thể ảnh hưởng đến việc quản lý thiết bị thông qua SNMP, chẳng hạn như khám phá và kiểm kê phần cứng."