18 Schwachstellen in Access Points von Aruba ArubaOS und InstantOS sind durch Malware eingreifbar

Anbieter zum Thema

SEPPmail - Deutschland GmbH

Derzeit gibt es wieder Schwachstellen in Aruba-Geräten, die auf ArubaOS und InstantOS setzen. Allerdings erhalten nur Geräte Updates, die sich im Support befinden. Ältere Geräte bleiben gefährdet, weil manche Schwachstellen nicht geschlossen werden können.

Bei ArubaOS und InstantOS gibt es derzeit Schwachstellen. Der Hersteller schließt durch Updates 18 Lücken bei Geräten, die sich noch im Support befinden. Ältere Geräte ohne Support, erhalten keine Updates mehr. Die Schwachstellen, die unter den CVE-Nummern CVE-2024-31466 bis CVE-2024-31483 gelistet sind, betreffen Geräte, die InstantOS und ArubaOS 10 verwenden. Die betroffenen Produkte umfassen Aruba Access Points, die unter den Betriebssystemen InstantOS und ArubaOS 10 laufen. Die betroffenen Softwareversionen sind:

• ArubaOS 10.5.x.x: Version 10.5.1.0 und darunter

• ArubaOS 10.4.x.x: Version 10.4.1.0 und darunter

• InstantOS 8.11.x.x: Version 8.11.2.1 und darunter

• nstantOS 8.10.x.x: Version 8.10.0.10 und darunter

• InstantOS 8.6.x.x: Version 8.6.0.23 und darunter

Darüber hinaus gibt es Softwareversionen, die das Ende des Wartungszeitraums erreicht haben und somit ebenfalls von diesen Schwachstellen betroffen sind. Dazu zählen alle Versionen von ArubaOS 10.3.x.x sowie von InstantOS 8.9.x.x, 8.8.x.x, 8.7.x.x, 8.5.x.x, 8.4.x.x, 6.5.x.x und 6.4.x.x. Kunden, die diese Versionen verwenden, wird empfohlen, auf eine unterstützte Softwareversion zu migrieren.

Angreifer können über das Netzwerk Malware übertragen

Die Sicherheitslücken betreffen hauptsächlich nicht authentifizierte Buffer-Overflow- und Kommando-Injektions-Schwachstellen im CLI-Service, der Central Communications Service und anderen Diensten, die über das PAPI-Protokoll zugänglich sind. Diese Schwachstellen ermöglichen es Angreifern, durch das Senden speziell gestalteter Pakete an den UDP-Port 8211 der betroffenen Dienste, beliebigen Code mit den Rechten eines privilegierten Benutzers auszuführen.

Für Workarounds wird empfohlen, die Sicherheitsfunktion "Cluster-Security" zu aktivieren oder den Zugriff auf den UDP-Port 8211 von nicht vertrauenswürdigen Netzwerken zu blockieren. Einige der spezifischen Sicherheitslücken umfassen:

• Unauthentifizierte Buffer-Overflow-Schwachstellen im CLI-Service (CVE-2024-31466, CVE-2024-31467)

• Unauthentifizierte Buffer-Overflow-Schwachstellen im Central Communications Service (CVE-2024-31468, CVE-2024-31469)

• Unauthentifizierte Buffer-Overflow-Schwachstelle im Simultaneous Authentication of Equals (SAE) Service (CVE-2024-31470)

• Unauthentifizierte Kommando-Injektions-Schwachstellen im Central Communications Service (CVE-2024-31471)

• Unauthentifizierte Kommando-Injektions-Schwachstellen im Soft AP Daemon Service (CVE-2024-31472)

• Unauthentifizierte Kommando-Injektions-Schwachstelle im Deauthentication Service (CVE-2024-31473)

• Unauthentifizierte Arbitrary-File-Deletion-Schwachstellen im CLI-Service (CVE-2024-31474)

• Unauthentifizierte Arbitrary-File-Deletion-Schwachstelle im Central Communications Service (CVE-2024-31475)

• Authentifizierte Remote Command Execution-Schwachstellen in der CLI (CVE-2024-31476, CVE-2024-31477)

• Unauthentifizierte Denial-of-Service-Schwachstellen im Soft AP Daemon Service (CVE-2024-31478)

• Unauthentifizierte Denial-of-Service-Schwachstellen im Central Communications Service (CVE-2024-31479)

• Unauthentifizierte Denial-of-Service-Schwachstellen im CLI-Service (CVE-2024-31480, CVE-2024-31481)

• Unauthentifizierte Denial-of-Service-Schwachstelle im ANSI Escape Code Service (CVE-2024-31482)

• Authentifizierte Sensitive Information Disclosure-Schwachstelle im CLI-Service (CVE-2024-31483)

Zur Behebung dieser Schwachstellen wird empfohlen, die Software auf folgende Versionen zu aktualisieren:

• ArubaOS 10.6.x.x: Version 10.6.0.0 und höher

• ArubaOS 10.5.x.x: Version 10.5.1.1 und höher

• ArubaOS 10.4.x.x: Version 10.4.1.1 und höher

• InstantOS 8.12.x.x: Version 8.12.0.0 und höher

• InstantOS 8.11.x.x: Version 8.11.2.2 und höher

• InstantOS 8.10.x.x: Version 8.10.0.11 und höher

• InstantOS 8.6.x.x: Version 8.6.0.24 und höher

Für spezifische Schwachstellen-spezifische Workarounds wird empfohlen, die Sicherheitsfunktion "Cluster-Security" zu aktivieren oder den Zugriff auf den UDP-Port 8211 von nicht vertrauenswürdigen Netzwerken zu blockieren. Weitere Unterstützung bietet das HPE Aruba Networking Technical Assistance Center.

(ID:50047432)