[TLP:CLEAR] HPE Aruba Networking Mobility Conductors, Controllers a Gateways opravuje 2 zranitelnosti

HPE Aruba Networking v produktech Mobility Conductors, Mobility Controllers a WLAN a SD-WAN Gateways (AOS-10 a AOS-8) opravuje 2 vysoce závažné zranitelnosti [1]. Opravy jsou k dispozici ve verzích: AOS-10 - 10.7.0.0 a 10.4.1.5 AOS-8 - 8.12.0.3 a 8.10.0.15 Pro dočasnou opravu těchto zranitelností je možné omezit příkazový řádek a webové rozhraní určené pro správu na dedikovaný segment vrstvy 2 a/nebo kontrolovat přístup pomocí firewallu na vrstvě 3 nebo vyšší [1].

HPE Aruba Networking Mobility Conductors, Controllers, and WLAN/SD-WAN Gateways - RCE (CVE-2025-23051)
CVSS 7.2 (High)

Autentizovanému vzdálenému útočníkovi je ve webovém rozhraní pro správu AOS umožněno přepsat libovolné systémové soubory a spustit kód [1].

Zranitelnost se nachází v produktu:

  • *:AOS;>=8.10,<=8.10.0.14;>=8.12,<=8.12.0.2;>=10.4,<=10.4.1.4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2025-23051 na cve.org, NVD
  • CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 14. 1. 2025.

HPE Aruba Networking Mobility Conductors, Controllers, and WLAN/SD-WAN Gateways - OS command execution (CVE-2025-23052)
CVSS 7.2 (High)

Autentizovanému vzdálenému útočníkovi je v příkazovém řádku správy sítě umožněno spouštět libovolné příkazy jako privilegovaný uživatel na úrovni operačního systému postiženého zařízení [1].

Zranitelnost se nachází v produktu:

  • *:AOS;>=8.10,<=8.10.0.14;>=8.12,<=8.12.0.2;>=10.4,<=10.4.1.4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2025-23052 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 14. 1. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dne 22. 1. 2025.

CESNET, z.s.p.o. Logo