思科警告称，其IOS软件和IOS XE软件中存在一个高严重性安全漏洞，该漏洞可能允许远程攻击者在特定情况下执行任意代码或触发拒绝服务（DoS）状态。

该公司表示，这一漏洞CVE-2025-20352（CVSS评分：7.7）已在野外被利用，并补充称，其是在“本地管理员凭据遭到泄露后”才意识到这一漏洞的。

据这家网络设备巨头称，该问题源于简单网络管理协议（SNMP）子系统，由栈溢出情况导致。

一个已认证的远程攻击者可以通过IPv4或IPv6网络向受影响的设备发送特制的SNMP数据包来利用此漏洞。如果攻击者拥有低权限，可能会导致拒绝服务（DoS）；如果拥有高权限，则可能以root身份执行任意代码，最终控制该易受攻击的系统。

然而，思科指出，要实现这一点，需要满足以下条件——

• 要造成拒绝服务攻击，攻击者必须拥有SNMPv2c或更早版本的只读团体字符串，或者有效的SNMPv3用户凭证。
• 要以root用户身份执行代码，攻击者必须拥有SNMPv1或v2c只读社区字符串，或者有效的SNMPv3用户凭据，以及受影响设备上的管理员凭据或15级权限凭据。

该公司表示，此问题影响所有版本的SNMP，以及运行Meraki CS 17及更早版本的Meraki MS390和思科Catalyst 9300系列交换机。该问题已在Cisco IOS XE软件17.15.4a版本中修复。Cisco IOS XR软件和NX-OS软件未受影响。

思科表示：“此漏洞影响所有版本的SNMP。所有启用了SNMP且未明确排除受影响的对象标识符（OID）的设备都应被视为存在漏洞。”

虽然目前没有能解决CVE-2025-20352的变通方法，但思科提出的一项缓解措施是，只允许受信任的用户对受影响的系统拥有SNMP访问权限，并通过运行“show snmp host”命令来监控这些系统。

“管理员可以在设备上禁用受影响的OID，”它补充道。“并非所有软件都会支持缓解措施中列出的OID。如果该OID对特定软件无效，那么它就不会受到此漏洞的影响。排除这些OID可能会影响通过SNMP进行的设备管理，例如发现和硬件 inventory。”