Cisco Smart Install, interface web et SNMP exposés
Sept ans. Cisco a corrigé la faille Smart Install en 2018. En août 2025, le FBI a averti que des acteurs du FSB russe collectaient les fichiers de configuration de milliers d'équipements réseau, via Smart Install et SNMP.
La porte d'entrée n'était pas un nouvel exploit. C'était un service que personne n'utilise, resté à l'écoute.
Le dossier officiel
Trois services d'administration. Smart Install, CVE-2018-0171, score de 9,8, dont le client est activé par défaut sur les commutateurs qui tournent sur une version sans correctif ultérieur.
L'interface web d'IOS XE, CVE-2023-20198, score de 10,0 : un attaquant pouvait créer un compte administrateur sans s'authentifier, et la CISA l'a inscrite à son catalogue le jour même de la publication de Cisco.
Et SNMP, CVE-2017-6736, score de 8,8, qui ne demande que la community string.
À quel point est-ce facile ?
Pour Smart Install et l'interface web, il suffit à l'attaquant d'atteindre le port. Aucun compte, faible complexité.
Pour SNMP, la community string est la seule clé, et les agences américaines notent que de nombreux équipements compromis utilisaient les chaînes bien connues, public et private.
Le principe de fonctionnement
Un commutateur ou un routeur fait tourner des services que personne n'a demandés : Smart Install sur le port TCP 4786, l'interface web, SNMP. Chacun est une porte.
Par ces portes, la configuration est copiée ou remplacée, et en 2023, des implants ont été écrits sur des équipements IOS XE.
L'impact
La configuration quitte l'équipement, avec les empreintes (hashes) des mots de passe et les community strings SNMP qu'elle contient. Les attaquants créent leurs propres comptes administrateur.
Et des acteurs étatiques de plus d'un pays ont emprunté ces portes, selon les avis des États-Unis et de leurs alliés.
Comment fermer la porte
Si vous n'utilisez pas Smart Install, désactivez-le avec no vstack, et vérifiez qu'il reste désactivé après un redémarrage (reload). Désactivez le serveur web, no ip http server et no ip http secure-server, au moins sur tout ce qui fait face à Internet.
Appliquez une liste d'accès à chaque community SNMP, et préférez SNMP version 3.
Et mettez à jour : pour IOS XE, 17.9.4a, 17.6.6a ou 17.3.8a, ou une version ultérieure.
Ce que NacTrack montre
NacTrack signale Smart Install, le serveur web et les communities SNMP version 1 et 2c dans les configurations Cisco, et confronte les versions IOS et IOS XE aux avis de sécurité de Cisco.
Sources
Sources : CISA KEV, avis Cisco PSIRT, NVD, FBI PSA I-082025, CISA AA25-239A et TA18-106A.
Formation défensive : l'attaque est montrée dans son principe seulement, sans étape d'exploitation, outil ni charge utile. Les sorties de commande et les configurations sont des exemples ; vérifiez votre plateforme et votre version dans la documentation du constructeur.
Savoir où votre réseau est exposé
NacTrack relève les versions et les configurations sur vos équipements, et les confronte aux avis publiés.