HPE Aruba Networking corrige des vulnérabilités critiques affectant les points d'accès.
HPE Aruba Networking a corrigé trois vulnérabilités critiques dans le service de l'interface en ligne de commande (CLI) de ses points d'accès Aruba, qui pourraient permettre à des attaquants non authentifiés de réaliser une exécution de code à distance sur des dispositifs vulnérables.
Les vulnérabilités (CVE-2024-42505, CVE-2024-42506 et CVE-2024-42507) peuvent être exploitées en envoyant des paquets spécialement conçus au port UDP (8211) du PAPI (protocole de gestion des points d'accès Aruba) pour obtenir un accès privilégié et exécuter un code arbitraire sur les appareils vulnérables.
La filiale de Hewlett Packard Enterprise (HPE), anciennement connue sous le nom d'Aruba Networks, a confirmé dans un avis de sécurité publié plus tôt cette semaine que les failles de sécurité affectent les points d'accès Aruba fonctionnant sous Instant AOS-8 et AOS-10.
Les vulnérabilités ont été signalées par le chercheur en sécurité Erik De Jong par le biais du programme de primes aux bogues de l'entreprise, et les versions logicielles impactées incluent :
- AOS-10.6.x.x : 10.6.0.2 et inférieures
- AOS-10.4.x.x : 10.4.1.3 et inférieures
- Instant AOS-8.12.x.x : 8.12.0.1 et inférieures
- Instant AOS-8.10.x.x : 8.10.0.13 et inférieures
L'entreprise a exhorté les administrateurs à installer les dernières mises à jour de sécurité (disponibles sur le portail de support HPE Networking) sur les points d'accès vulnérables pour prévenir les attaques potentielles.
Solution temporaire disponible, aucune exploitation active Comme solution temporaire pour les appareils exécutant le code Instant AOS-8.x, les administrateurs peuvent activer "cluster-security" pour bloquer les tentatives d'exploitation. Pour les appareils AOS-10, l'entreprise conseille de bloquer l'accès au port UDP/8211 depuis tous les réseaux non de confiance.
HPE Aruba Networking a également confirmé que d'autres produits Aruba, y compris les Conducteurs de Mobilité Réseau, les Contrôleurs de Mobilité et les Passerelles SD-WAN, ne sont pas affectés.
Selon l'équipe de réponse à la sécurité des produits HPE, aucun code d'exploitation public n'est disponible et il n'y a pas eu de rapports d'attaques ciblant ces trois vulnérabilités critiques.
Plus tôt cette année, l'entreprise avait également corrigé quatre vulnérabilités critiques d'exécution de code à distance (RCE) affectant plusieurs versions d'ArubaOS, son système d'exploitation réseau propriétaire.
En février, Hewlett Packard Enterprise (HPE) a déclaré enquêter sur une possible violation après qu'un acteur malveillant a mis en vente des informations d'identification et d'autres informations sensibles (supposément volées à HPE) sur un forum de hacking.
Deux semaines auparavant, il avait signalé que son environnement de messagerie Microsoft Office 365 avait été compromis en mai 2023 par des hackers supposément liés au groupe de menaces APT29, lié au Service de renseignement extérieur de la Russie (SVR).
