[TLP:CLEAR] HPE Aruba Networking Access Points opravuje 6 zraniteľností

HPE Aruba Networking v produkte Access Points (Instant AOS-8 a AOS-10) opravuje 6 zraniteľností, pričom 2 z nich sú kritické. Zraniteľnosti sú pre Instant AOS opravené vo verziách 8.12.0.3 a 8.10.0.14 a pre AOS v 10.7.0.0 a 10.4.1.5. Informácie k dočasným opravám zraniteľností je možné nájsť na [1].

Aruba Networking Access Points - RCE (CVE-2024-42509)
CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je umožnené spúšťať kód v operačnom systéme postihnutého zariadenia zasielaním špeciálne vytvorených PAPI paketov [1].

Zraniteľnosť sa nachádza v produktoch:

  • AOS; >=10.4, <10.4.1.5;
  • Instant AOS; >=8.12, <8.12.0.3; >=8.10, < 8.10.0.14;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2024-42509 na cve.org, NVD
  • CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 5. 11. 2024.

Aruba Networking Access Points - OS command injection (CVE-2024-47461)
CVSS 7.2 (High)

Autentizovanému vzdialenému útočníkovi je umožnené vykonávať príkazy v operačnom systéme postihnutého stroja, čo môže viesť k jeho úplnému ovládnutiu [1].

Zraniteľnosť sa nachádza v produktoch:

  • AOS; >=10.4, <10.4.1.5;
  • Instant AOS; >=8.12, <8.12.0.3; >=8.10, < 8.10.0.14;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2024-47461 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 5. 11. 2024.

Aruba Networking Access Points - RCE (CVE-2024-47460)
CVSS 9.0 (Critical)

Neautentizovanému vzdialenému útočníkovi je umožnené spúšťať kód v operačnom systéme postihnutého zariadenia zasielaním špeciálne vytvorených PAPI paketov [1].

Zraniteľnosť sa nachádza v produktoch:

  • AOS; >=10.4, <10.4.1.5;
  • Instant AOS; >=8.12, <8.12.0.3; >=8.10, < 8.10.0.14;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

  • CVE-2024-47460 na cve.org, NVD
  • CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 5. 11. 2024.

Aruba Access Points - RCE (CVE-2024-47462, CVE-2024-47463)
CVSS 7.2 (High)

Autentizovanému vzdialenému útočníkovi je umožnené vytvárať ľubovolné súbory, čo môže viesť k spúšťaniu kódu v operačnom systéme postihnutého zariadenia [1].

Zraniteľnosť sa nachádza v produktoch:

  • AOS; >=10.4, <10.4.1.5;
  • Instant AOS; >=8.12, <8.12.0.3; >=8.10, < 8.10.0.14;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 5. 11. 2024.

Aruba Networking Access Points - arbitrary file read (CVE-2024-47464)
CVSS 6.8 (Medium)

Autentizovanému vzdialenému útočníkovi je umožnené neoprávnene zobrazovať ľubovolné súbory [1].

Zraniteľnosť sa nachádza v produktoch:

  • AOS; >=10.4, <10.4.1.5;
  • Instant AOS; >=8.12, <8.12.0.3; >=8.10, < 8.10.0.14;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N

Viac informácií:

  • CVE-2024-47464 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 5. 11. 2024.

Za CESNET, z.s.p.o. Martin Krajči dňa 8. 11. 2024.

CESNET, z.s.p.o. Logo