[TLP:CLEAR] Aruba AOS opravuje 17 zraniteľností
HPE Aruba verziami 10.7.2.1,10.4.1.9, 8.13.1.0, 8.12.0.6 a 8.10.0.19 opravuje 17 zraniteľností v produktoch Access Points, Mobility Conductors, Mobility Controllers a WLAN a SD-WAN Gateways (AOS-10 a AOS-8) [1][2]. Najzávažnejšie zraniteľnosti sú uvedené nižšie. Ako dočasnú opravu niektorých zraniteľností je možné obmedziť rozhranie webu a príkazového riadku iba na dôveryhodných používateľov [1][2].
Autentizovanému vzdialenému útočníkovi je vrámci webového rozhrania umožnené nahrávať ľubovolné súbory a spúšťať ľubovolné príkazy v operačnom systéme postihnutého stroja [1].
Zraniteľnosť sa nachádza v produkte:
- Aruba AOS; >=10.7, <10.7.2.1; >=10.4, <10.4.1.9; >=8.13, <8.13.0.2; >=8.12, <8.12.0.6; >=8.10, <8.10.0.19;
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2025-37132 na cve.org, NVD
- CWE-434: Unrestricted Upload of File with Dangerous Type na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 14. 10. 2025.
Autentizovanému vzdialenému útočníkovi je vrámci prostredia AOS príkazového riadku umožnené vykonávať príkazy v operačnom systéme postihnutého zariadenia [1].
Zraniteľnosť sa nachádza v produkte:
- Aruba AOS; >=10.7, <10.7.2.1; >=10.4, <10.4.1.9; >=8.13, <8.13.0.2; >=8.12, <8.12.0.6; >=8.10, <8.10.0.19;
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2025-37133 na cve.org, NVD
- CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 14. 10. 2025.
Autentizovanému vzdialenému útočníkovi je kvôli chybe v knižnici webového rozhrania umožnené vykonávať príkazy v operačnom systéme postihnutého stroja [1].
Zraniteľnosť sa nachádza v produkte:
- Aruba AOS; >=10.7, <10.7.2.0; >=10.4, <10.4.1.8; >=8.13, <8.13.0.1; >=8.12, <8.12.0.5; >=8.10, <8.10.0.18;
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2025-37134 na cve.org, NVD
- CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 14. 10. 2025.
Neautentizovanému lokálnemu útočníkovi je umožnené obísť zabezpečené spúšťanie systému (secure boot), vďaka čomu môže na postihnutom stroji spúšťať škodlivý firmvér [2].
Zraniteľnosť sa nachádza v produkte:
- Aruba AOS; >=10.7, <10.7.2.1; >=10.4, <10.4.1.8; >=8.13, <8.13.0.2; >=8.12, <8.12.0.6; >=8.10, <8.10.0.17;
CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N
Viac informácií:
- CVE-2025-37147 na cve.org, NVD
- CWE-290: Authentication Bypass by Spoofing na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 14. 10. 2025.
Odkazy
Za CESNET, z.s.p.o. Martin Krajči dňa 15. 10. 2025.