Aruba Networking retter fire kritiske RCE-fejl i ArubaOS

HPE (Hewlett Packard Enterprise)-ejede Aruba Networking har udsendt sikkerhedsopdateringer, der bl.a. adresserer fire kritiske sårbarheder, som kan udnyttes til remote code execution (RCE) som følge af buffer overflow-fejl.

Det skriver Bleeping Computer og Security Affairs m.fl.

Sårbarhederne er foreløbigt konstateret i følgende produkter:

• HPE Aruba Networking Mobility Conductor, Mobility Controllere, WLAN Gateways og SD-WAN Gateways administreret af Aruba Central.
• ArubaOS 10.5.1.0 og derunder, 10.4.1.0 og ældre, 8.11.2.1 og derunder, og 8.10.0.10 og ældre.
• Alle versioner af ArubaOS og SD-WAN, der har nået "EoL". Dette inkluderer ArubaOS under 10.3, 8.9, 8.8, 8.7, 8.6, 6.5.4 og SD-WAN 2.3.0 til 8.7.0.0 og 2.2 til 8.6.0.4.

De fire kritiske er registreret som:

CVE-2024-26305 – Fejl i ArubaOS's Utility-dæmon. (CVE - CVE-2024-26305 (mitre.org)

CVE-2024-26304 – Fejl i L2/L3 Management-tjenesten. (CVE - CVE-2024-26304 (mitre.org)

CVE-2024-33511  – Sårbarhed i den "automatiske rapportering" tjeneste. (CVE - CVE-2024-33511 (mitre.org)

CVE-2024-33512 – Fejl i tjenesten til "Local User Authentication Database". (CVE - CVE-2024-33512 (mitre.org)

Det anbefales at opgradere sårbare versioner til patchede versioner til ArubaOS.

Links:

https://securityaffairs.com/162663/security/hpe-aruba-networking-critica...

https://www.bleepingcomputer.com/news/security/hpe-aruba-networking-fixe...