Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] HPE Aruba Networking Access Points opravuje 6 zranitelností

HPE Aruba Networking v produktu Access Points (Instant AOS-8 a AOS-10) opravuje 6 zranitelností, přičemž 2 z nich jsou kritické. Zranitelnosti jsou pro Instant AOS opraveny ve verzích 8.12.0.3 a 8.10.0.14 a pro AOS v 10.7.0.0 a 10.4.1.5. Informace k dočasným opravám zranitelností je možné nalézt na [1].

Aruba Networking Access Points - RCE (CVE-2024-42509)
CVSS 9.8 (Critical)

Neautentizovanému vzdálenému útočníkovi je umožněno spouštět kód v operačním systému postiženého zařízení zasíláním speciálně vytvořených PAPI paketů [1].

Zranitelnost se nachází v produktech:

  • AOS; >=10.4, <10.4.1.5;
  • Instant AOS; >=8.12, <8.12.0.3; >=8.10, < 8.10.0.14;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2024-42509 na cve.org, NVD
  • CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 5. 11. 2024.

Aruba Networking Access Points - injekce příkazů OS (CVE-2024-47461)
CVSS 7.2 (High)

Autentizovanému vzdálenému útočníkovi je umožněno vykonávat příkazy v operačním systému postiženého stroje, což může vést k jeho úplnému ovládnutí [1].

Zranitelnost se nachází v produktech:

  • AOS; >=10.4, <10.4.1.5;
  • Instant AOS; >=8.12, <8.12.0.3; >=8.10, < 8.10.0.14;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2024-47461 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 5. 11. 2024.

Aruba Networking Access Points - RCE (CVE-2024-47460)
CVSS 9.0 (Critical)

Neautentizovanému vzdálenému útočníkovi je umožněno spouštět kód v operačním systému postiženého zařízení zasíláním speciálně vytvořených PAPI paketů [1].

Zranitelnost se nachází v produktech:

  • AOS; >=10.4, <10.4.1.5;
  • Instant AOS; >=8.12, <8.12.0.3; >=8.10, < 8.10.0.14;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

Více informací:

  • CVE-2024-47460 na cve.org, NVD
  • CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 5. 11. 2024.

Aruba Access Points - RCE (CVE-2024-47462, CVE-2024-47463)
CVSS 7.2 (High)

Autentizovanému vzdálenému útočníkovi je umožněno vytvářet libovolné soubory, což může vést ke spuštění kódu v operačním systému postiženého zařízení [1].

Zranitelnost se nachází v produktech:

  • AOS; >=10.4, <10.4.1.5;
  • Instant AOS; >=8.12, <8.12.0.3; >=8.10, < 8.10.0.14;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 5. 11. 2024.

Aruba Networking Access Points - čtení libovolných souborů (CVE-2024-47464)
CVSS 6.8 (Medium)

Autentizovanému vzdálenému útočníkovi je umožněno neoprávněně zobrazovat libovolné soubory [1].

Zranitelnost se nachází v produktech:

  • AOS; >=10.4, <10.4.1.5;
  • Instant AOS; >=8.12, <8.12.0.3; >=8.10, < 8.10.0.14;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N

Více informací:

  • CVE-2024-47464 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 5. 11. 2024.

Za CESNET, z.s.p.o. Martin Krajči dne 8. 11. 2024.

CESNET, z.s.p.o. Logo