Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] Aruba AOS opravuje 17 zranitelností
HPE Aruba verzemi 10.7.2.1,10.4.1.9, 8.13.1.0, 8.12.0.6 a 8.10.0.19 opravuje 17 zranitelností v produktech Access Points, Mobility Conductors, Mobility Controllers a WLAN a SD-WAN Gateways (AOS-10 a AOS-8) [1][2]. Nejzávažnější zranitelnosti jsou uvedeny níže. Jako dočasnou opravu některých zranitelností je možné omezit webové rozhraní a rozhraní příkazového řádku pouze na důvěryhodné uživatele [1][2].
Autentizovanému vzdálenému útočníkovi je v rámci webového rozhraní umožněno nahrávat libovolné soubory a spouštět libovolné příkazy v operačním systému postiženého stroje [1].
Zranitelnost se nachází v produktu:
- Aruba AOS; >=10.7, <10.7.2.1; >=10.4, <10.4.1.9; >=8.13, <8.13.0.2; >=8.12, <8.12.0.6; >=8.10, <8.10.0.19;
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2025-37132 na cve.org, NVD
- CWE-434: Unrestricted Upload of File with Dangerous Type na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 10. 2025.
Autentizovanému vzdálenému útočníkovi je v rámci prostředí příkazového řádku AOS umožněno vykonávat příkazy v operačním systému postiženého zařízení [1].
Zranitelnost se nachází v produktu:
- Aruba AOS; >=10.7, <10.7.2.1; >=10.4, <10.4.1.9; >=8.13, <8.13.0.2; >=8.12, <8.12.0.6; >=8.10, <8.10.0.19;
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2025-37133 na cve.org, NVD
- CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 10. 2025.
Autentizovanému vzdálenému útočníkovi je kvůli chybě v knihovně webového rozhraní umožněno vykonávat příkazy v operačním systému postiženého stroje [1].
Zranitelnost se nachází v produktu:
- Aruba AOS; >=10.7, <10.7.2.0; >=10.4, <10.4.1.8; >=8.13, <8.13.0.1; >=8.12, <8.12.0.5; >=8.10, <8.10.0.18;
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2025-37134 na cve.org, NVD
- CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 10. 2025.
Neautentizovanému lokálnímu útočníkovi je umožněno obejít zabezpečené spouštění systému (secure boot), díky čemuž může na postiženém stroji spouštět škodlivý firmware [2].
Zranitelnost se nachází v produktu:
- Aruba AOS; >=10.7, <10.7.2.1; >=10.4, <10.4.1.8; >=8.13, <8.13.0.2; >=8.12, <8.12.0.6; >=8.10, <8.10.0.17;
CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N
Více informací:
- CVE-2025-37147 na cve.org, NVD
- CWE-290: Authentication Bypass by Spoofing na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 10. 2025.
Odkazy
Za CESNET, z.s.p.o. Martin Krajči dne 15. 10. 2025.