Cisco liberó actualizaciones de seguridad para abordar una vulnerabilidad de día cero crítica en el software Cisco IOS e IOS XE, que actualmente está bajo explotación activa.
Identificada como CVE-2025-20352, la falla se debe a una vulnerabilidad de desbordamiento de búfer de pila, encontrada en el subsistema del Protocolo Simple de Administración de Red (SNMP) del software vulnerable IOS e IOS XE, que afecta a todos los dispositivos con SNMP habilitado.
Atacantes remotos con bajos privilegios pueden explotar esta vulnerabilidad para provocar condiciones de denegación de servicio (DoS) en dispositivos sin parches. Por otro lado, los atacantes con privilegios altos pueden obtener el control total de los sistemas que ejecutan el software vulnerable Cisco IOS XE ejecutando código como usuario root.
“Un atacante podría explotar esta vulnerabilidad enviando un paquete SNMP manipulado a un dispositivo afectado a través de redes IPv4 o IPv6“, declaró Cisco en un aviso emitido el miércoles.
El Equipo de Respuesta a Incidentes de Seguridad de Productos de Cisco (PSIRT, por sus siglas en inglés) detectó la explotación exitosa de esta vulnerabilidad en la práctica después de que se comprometieran las credenciales del administrador local. Cisco exhorta a los clientes a que actualicen a una versión de software corregida para remediar esta vulnerabilidad.
Si bien no existen soluciones alternativas para abordar esta vulnerabilidad más allá de aplicar los parches publicados hoy, Cisco indicó que los administradores que no puedan actualizar inmediatamente el software vulnerable pueden mitigar el problema temporalmente limitando el acceso SNMP en un sistema afectado a usuarios de confianza.
Para remediar completamente esta vulnerabilidad y evitar futuras exposiciones como las descritas en este aviso, Cisco recomienda encarecidamente a los clientes que actualicen a la versión de software corregida indicada en este aviso, advirtió la compañía.
Hoy, Cisco corrigió otras 13 vulnerabilidades de seguridad, incluyendo dos para las que existe un código de explotación de prueba de concepto.
La primera, una falla de cross-site scripting (XSS) reflejada en Cisco IOS XE, identificada como CVE-2025-20240, puede ser utilizada por un atacante remoto no autenticado para robar cookies de dispositivos vulnerables.
La segunda, identificada como CVE-2025-20149, es una vulnerabilidad de denegación de servicio que permite a atacantes locales autenticados forzar la recarga de los dispositivos afectados.
En mayo pasado, la compañía también corrigió una falla de máxima severidad en IOS XE que afectaba a los controladores de LAN inalámbrica. Esta vulnerabilidad permitía a atacantes no autenticados tomar el control remoto de los dispositivos mediante un token web JSON (JWT) codificado.
