Mobile-Menu

Sicherheitswarnung zu Schwachstellen Angreifer können Netzwerkgeräte von HPE Aruba übernehmen

Von Thomas Joos 2 min Lesedauer

HPE Aruba Networking hat eine Sicherheitswarnung zu mehreren schwer­wie­gen­den Schwachstellen in den Controllern und Gateways veröffentlicht. Die Lücken ermöglichen Angreifern die Ausführung beliebiger Befehle auf den betroffenen Systemen, was erhebliche Risiken für Netzwerksicherheit und Unternehmensinfrastrukturen darstellt.

Unternehmen, die HPE Aruba Networking Controller oder Gateways verwenden, sollten aufgrund mehrere Schwachstellen unverzüglich auf die gepatchten Versionen des AOS-Betriebssystems aktualisieren.(Bild: xiaoliangge - stock.adobe.com)
Unternehmen, die HPE Aruba Networking Controller oder Gateways verwenden, sollten aufgrund mehrere Schwachstellen unverzüglich auf die gepatchten Versionen des AOS-Betriebssystems aktualisieren.
(Bild: xiaoliangge - stock.adobe.com)

HPE empfiehlt die bereitgestellten Sicherheitspatches für Aruba-Produkte so schnell wie möglich zu installieren.Die betroffenen Produkte umfassen unter anderem die HPE Aruba Mobility Conductor (früher als Mobility Master bekannt), Mobility Controllers sowie WLAN- und SD-WAN-Gateways, die über Aruba Central verwaltet werden. Die Schwachstellen betreffen mehrere Versionen des AOS-Betriebssystems, insbesondere AOS-10.6.x.x, AOS-8.12.x.x und AOS-8.10.x.x. Ältere Versionen wie AOS-10.5.x.x und darunter befinden sich bereits am Ende ihres Wartungszyklus und werden nicht mehr durch Sicherheitsupdates abgedeckt, was für Unternehmen, die noch auf diese Versionen setzen, ein erhebliches Sicherheitsrisiko darstellt.

Eine der Schwachstellen CVE-2024-42501 erlaubt es einem authentifizierten Angreifer, durch eine Path Traversal-Lücke beliebige Befehle auf dem zugrundeliegenden Betriebssystem auszuführen. Dies eröffnet einem Angreifer die Möglichkeit, nicht signierte Pakete zu installieren und so schadhaften Code oder Implantate zu platzieren. Diese Schwachstelle wurde mit einer hohen Schwere von 7.2 auf der CVSSv3-Skala bewertet. Die Schwachstelle CVE-2024-42502 ermöglicht die Injektion von Shell-Befehlen in die AOS-CLI (Command Line Interface). Auch diese Schwachstelle wird als schwerwiegend eingestuft, da sie einem Angreifer die volle Kontrolle über das System verschaffen kann. Die dritte Schwachstelle, CVE-2024-42503, betrifft die Lua-Umgebung innerhalb der CLI und erlaubt ebenfalls die Ausführung von Befehlen mit erhöhten Rechten.

Schwachstellen minimieren und umgehen

Um das Risiko einer Ausnutzung dieser Schwachstellen zu minimieren, empfiehlt HPE Aruba Networking, den Zugriff auf die CLI und die webbasierten Managementschnittstellen auf ein dediziertes VLAN oder einen Layer-2-Segment zu beschränken. Zusätzliche Schutzmaßnahmen wie die Steuerung durch Firewalls auf Layer-3 und darüber sollten ebenfalls implementiert werden, um das Risiko eines Angriffs weiter zu senken.

Angesichts der Schwere dieser Sicherheitslücken sollten Unternehmen, die HPE Aruba Networking Controller oder Gateways verwenden, unverzüglich handeln und auf die gepatchten Versionen von AOS aktualisieren. Für die AOS-Versionen 10.7.x.x, 10.6.x.x und 8.12.x.x stehen entsprechende Updates zur Verfügung, die diese Schwachstellen beheben. Versionen des Betriebssystems, die sich bereits am Ende ihres Wartungszeitraums befinden, erhalten jedoch keine Sicherheitsupdates mehr, weshalb Unternehmen dringend erwägen sollten, ihre Systeme auf eine aktuell unterstützte Version zu migrieren.

(ID:50177452)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte