HPE Aruba Networking выявила четыре критических уязвимости RCE в ArubaOS

HPE Aruba Networking выявила четыре серьезные уязвимости, касающиеся удаленного выполнения кода в своей операционной системе ArubaOS. В апреле 2024 года компания выпустила обновления безопасности, направленные на устранение этих критических уязвимостей, которые могут затронуть несколько версий сетевой операционной системы ArubaOS. Все четыре уязвимости представляют собой недостатки переполнения буфера, которые могут быть использованы для удаленного выполнения произвольного кода.

Первая уязвимость

CVE-2024-26305 — это уязвимость переполнения буфера в утилите демон, доступной через протокол PAPI. Если атака будет успешно осуществлена, это может привести к удаленному выполнению кода без аутентификации. Злоумышленник может отправить специально сформированные пакеты на UDP порт PAPI (8211), что позволит им запускать произвольный код с привилегиями на основном операционном системе.

Вторая уязвимость

CVE-2024-26304, аналогично, представляет собой недостаток переполнения буфера в сервисе управления L2/L3, также доступном через PAPI. Используя те же методы, злоумышленник может удаленно выполнить произвольный код, получив доступ к системе как привилегированный пользователь.

Третья уязвимость

CVE-2024-33511 касается автоматизированного сервиса отчетности, доступного через PAPI.

Четвертая уязвимость

CVE-2024-33512 связана с базой данных аутентификации локальных пользователей, доступной через PAPI. При наличии уязвимости успешная эксплуатация позволит атакующему без аутентификации выполнять произвольный код, имея доступ к системе как привилегированный пользователь.

Список затронутых продуктов и версий программного обеспечения

• HPE Aruba Networking - Mobility Conductor (ранее известный как Mobility Master)
• Контроллеры мобильности
• WLAN шлюзы
• SD-WAN шлюзы, управляемые через Aruba Central

Затронутые версии программного обеспечения:

• ArubaOS 10.5.x.x: до 10.5.1.0
• ArubaOS 10.4.x.x: до 10.4.1.0
• ArubaOS 8.11.x.x: до 8.11.2.1
• ArubaOS 8.10.x.x: до 8.10.0.10

Версии ArubaOS и SD-WAN на стадии прекращения обслуживания:

• ArubaOS 10.3.x.x: все версии
• ArubaOS 8.9.x.x: все версии
• ArubaOS 8.8.x.x: все версии
• ArubaOS 8.7.x.x: все версии
• ArubaOS 8.6.x.x: все версии
• ArubaOS 6.5.4.x: все версии
• SD-WAN 8.7.0.0-2.3.0.x: все версии
• SD-WAN 8.6.0.4-2.2.x.x: все версии

HPE Aruba Networking рекомендует включить функцию Enhanced PAPI Security с нестандартным ключом для уменьшения рисков, связанных с уязвимостями. Данный подход работает в ArubaOS 8.x, однако для ArubaOS 10.x это решение не актуально. Рекомендуется обновиться до одной из рекомендуемых версий ArubaOS 10.x, чтобы устранить другие уязвимости, указанные в уведомлении. На момент публикации этого материала производитель не зафиксировал атак в реальной среде, использующих уязвимости, о которых идет речь в обновлениях безопасности апреля 2024 года.

Следите за новыми обновлениями и информацией о безопасности в Twitter под ником @securityaffairs, а также на Facebook и Mastodon (SecurityAffairs – хакерство, HPE Aruba).