Cisco ha recentemente segnalato una vulnerabilità di sicurezza ad alta gravità che interessa IOS Software e IOS XE Software, due dei sistemi operativi di rete più diffusi nel panorama enterprise. La falla, identificata come CVE-2025-20352 con un punteggio CVSS di 7.7, è già stata sfruttata attivamente da cybercriminali, rendendo ancora più urgente un intervento immediato da parte degli amministratori di rete.
Questa vulnerabilità risiede nel sottosistema SNMP (Simple Network Management Protocol), fondamentale per la gestione dei dispositivi di rete. Il problema nasce da una condizione di stack overflow, che consente ad un attaccante remoto autenticato di inviare pacchetti SNMP appositamente creati a un dispositivo vulnerabile tramite IPv4 o IPv6. A seconda dei privilegi dell’attaccante, è possibile causare un denial-of-service (DoS) oppure ottenere l’esecuzione di codice arbitrario con i privilegi di root, compromettendo completamente il sistema bersaglio.
Condizioni per l’attacco
Perché l’attacco abbia successo, devono essere soddisfatte alcune condizioni. In particolare, per provocare un DoS è sufficiente che l’attaccante sia in possesso della community string SNMPv2c (o precedente) in sola lettura, oppure di credenziali SNMPv3 valide. Per l’esecuzione di codice come root, invece, è necessario anche disporre di credenziali amministrative o di livello 15 sul dispositivo.
Dispositivi e versioni impattate
La vulnerabilità impatta tutte le versioni di SNMP, compresi i dispositivi Meraki MS390 e Cisco Catalyst 9300 Series con Meraki CS 17 o versioni precedenti. Il problema è stato risolto nella release Cisco IOS XE Software 17.15.4a, mentre i software Cisco IOS XR e NX-OS risultano non impattati.
Mitigazioni e raccomandazioni
Cisco ha precisato che non esistono workaround risolutivi per CVE-2025-20352. Tuttavia, una mitigazione consiste nel limitare l’accesso SNMP solo a utenti fidati e monitorare regolarmente l’elenco degli host SNMP tramite il comando show snmp host. È anche possibile disabilitare gli OID vulnerabili, ma questa operazione potrebbe influire su alcune funzioni di gestione e inventario dei dispositivi tramite SNMP.
La raccomandazione per le organizzazioni è di aggiornare il software dei dispositivi coinvolti il prima possibile e di rivedere le configurazioni SNMP limitandone l’accesso. Queste misure sono fondamentali per ridurre il rischio di attacchi che potrebbero compromettere l’integrità e la disponibilità delle infrastrutture di rete aziendale.
