思科SNMP高危漏洞遭野外利用，可导致RCE并植入Linux rootkit（CVE-2025-20352）
内容提要
“零舞会”攻击活动利用Cisco SNMP漏洞（CVE-2025-20352），通过Linux rootkit控制网络设备。攻击者通过特制数据包触发缓冲区溢出，实现远程代码执行，主要针对旧版Cisco交换机。建议企业修补漏洞、限制SNMP访问并隔离遗留设备，以应对潜在威胁。
关键要点
-
攻击活动名为'Operation Zero Disco'，利用Cisco SNMP漏洞（CVE-2025-20352）控制网络设备。
-
该漏洞允许远程代码执行，主要针对旧版Cisco交换机，企业网络已遭受攻击。
-
漏洞源于Cisco IOS XE软件的SNMP认证框架，攻击者通过特制数据包触发缓冲区溢出。
-
恶意软件部署包含通用密码'disco'的rootkit，攻击者可广泛访问系统。
-
攻击者利用SNMP共同体字符串渗透隔离网络，绕过外部防火墙并操纵VLAN路由。
-
入侵者可在不触发内部防火墙警报的情况下访问受保护区域，并恢复日志以消除痕迹。
-
建议企业修补CVE-2025-20352漏洞，限制SNMP访问并隔离遗留设备。
-
推荐使用Cloud One Network Security进行虚拟补丁和入侵防御，启用Deep Discovery Inspector监测流量。
-
企业需优先落实系统更新，以应对国家支持攻击和网络犯罪的威胁。
延伸解读
漏洞影响与风险评估
CVE-2025-20352漏洞的利用主要针对旧版Cisco交换机，这些设备往往缺乏现代防护机制，导致企业网络面临严重风险。攻击者通过缓冲区溢出实现远程代码执行，可能导致数据泄露和系统控制。因此，企业需重视设备的更新和补丁管理，以降低潜在威胁。
防护措施与建议
针对CVE-2025-20352漏洞，企业应立即修补并限制SNMP访问，仅允许认证共同体进行操作。此外，建议对遗留设备进行网络隔离，以防止攻击者利用这些设备进行横向移动。部署Cloud One Network Security等工具可增强入侵防御能力，及时监测异常流量。
攻击手法与防范
攻击者利用默认公开的SNMP共同体字符串进行网络渗透，绕过外部防火墙并操纵VLAN路由。企业应加强对SNMP配置的管理，避免使用默认设置，并定期审查网络安全策略，以防止类似攻击的发生。
延伸问答
CVE-2025-20352漏洞的主要影响是什么？
该漏洞允许攻击者通过远程代码执行控制旧版Cisco交换机，可能导致网络设备被植入Linux rootkit。
攻击者是如何利用CVE-2025-20352漏洞的？
攻击者通过构造特制的SNMP Get-Request数据包触发缓冲区溢出，从而实现任意代码执行。
企业应如何应对CVE-2025-20352漏洞？
企业应立即修补漏洞，限制SNMP访问，并对遗留设备进行网络隔离。
什么是'Operation Zero Disco'攻击活动？
'Operation Zero Disco'是利用Cisco SNMP漏洞进行的攻击活动，旨在控制网络设备并植入恶意软件。
攻击者如何绕过网络防火墙？
攻击者利用窃取的SNMP共同体字符串绕过外部防火墙，并操纵核心交换机的VLAN路由。
CVE-2025-20352漏洞的根本原因是什么？
漏洞源于Cisco IOS XE软件的SNMP认证框架中的缓冲区溢出问题。
