Компания HPE Aruba Networking (ранее Aruba Networks) выпустила патчи для устранения критических уязвимостей в ArubaOS, которые могут привести к удаленному выполнению кода (RCE) на затронутых системах.
Суммарно в бюллетене безопасности компании перечислены десять уязвимостей, четыре из которых оцениваются как критические (9,8 балла по шкале CVSS) и связаны с неаутентифицированным переполнением буфера, которое может привести к удаленному выполнению кода.
Уязвимости затрагивают:
- HPE Aruba Networking Mobility Conductor, Mobility Controllers, WLAN Gateways и SD-WAN Gateways, управляемые Aruba Central;
- ArubaOS 10.5.1.0 и ниже, 10.4.1.0 и старше, 8.11.2.1 и ниже, 8.10.0.10 и старше;
- все версии ArubaOS и SD-WAN, чья поддержка уже прекращена (включая ArubaOS ниже 10.3, 8.9, 8.8, 8.7, 8.6, 6.5.4 и SD-WAN с 2.3.0 по 8.7.0.0 и с 2.2 по 8.6.0.4).
Четыре упомянутых критические уязвимости включают:
- CVE-2024-26305 — проблема в демоне Utility в ArubaOS, позволяющая неаутентифицированному злоумышленнику удаленно выполнить произвольный код, отправляя специально подготовленные пакеты на UDP-порт PAPI (8211);
- CVE-2024-26304 — уязвимость в сервисе L2/L3 Management, позволяющая неаутентифицированному злоумышленнику удаленно выполнить произвольный код через специально подготовленные пакеты, отправленные на UDP-порт PAPI;
- CVE-2024-33511 — уязвимость в сервисе Automatic Reporting, которая может быть использована путем отправки специально модифицированных пакетов на порт PAPI, что так же позволяет неаутентифицированным злоумышленникам удаленно выполнить произвольный код;
- CVE-2024-33512 — баг, позволяющий неаутентифицированным удаленным злоумышленникам выполнить код, используя переполнение буфера в службе Local User Authentication Database, доступ к которой осуществляется по протоколу PAPI.
Также в последних версиях ArubaOS устранены еще шесть уязвимостей, (5,3 – 5,9 балла по шкале CVSS), которые могут позволить неавторизованным злоумышленникам спровоцировать отказ в обслуживании на уязвимых устройствах.
Все баги были исправлены в составе ArubaOS 10.6.0.0 и выше, ArubaOS 10.5.1.1 и выше, ArubaOS 10.4.1.1 и выше, ArubaOS 8.11.2.2 и выше, а также ArubaOS 8.10.0.11 и выше.
В качестве временной защитной меры владельцам устройств с неподдерживаемым версиями ArubaOS 8.x разработчики рекомендуют включить функцию Enhanced PAPI Security, используя ключ не по умолчанию.
