أصدرت شركة Hewlett Packard Enterprise (HPE) تحديثات لبرنامج Instant AOS-8 وAOS-10 لمعالجة اثنتين من نقاط الضعف الحرجة في نقاط وصول شبكة Aruba.
يمكن أن تسمح المشكلتان الأمنيتان للمهاجم عن بعد بإجراء حقن أوامر غير مصادق عليه عن طريق إرسال حزم معدة خصيصًا إلى بروتوكول إدارة نقطة الوصول (PAPI) في أروبا عبر منفذ UDP 8211.
يتم تتبع العيوب الخطيرة على أنها CVE-2024-42509 وCVE-2024-47460، وتم تقييمها بدرجة خطورة تبلغ 9.8 و9.0 على التوالي. كلاهما موجود في خدمة واجهة سطر الأوامر (CLI)، والتي يمكن الوصول إليها عبر بروتوكول PAPI.
يعمل التحديث أيضًا على إصلاح أربع ثغرات أمنية أخرى:
- CVE-2024-47461 (7.2 درجة الخطورة):تنفيذ أوامر عن بعد موثقة قد تسمح للمهاجم بتنفيذ أوامر عشوائية على نظام التشغيل الأساسي
- CVE-2024-47462 وCVE-2024-47463(درجة الخطورة 7.2): يمكن للمهاجم المعتمد إنشاء ملفات عشوائية، مما قد يؤدي إلى تنفيذ الأمر عن بعد
- CVE-2024-47464(درجة الخطورة 6.8): يمكن للمهاجم المعتمد الذي يستغلها الوصول إلى الملفات غير المصرح بها عبر اجتياز المسار
تؤثر جميع الثغرات الأمنية الست على AOS-10.4.xx: 10.4.1.4 والإصدارات الأقدم، وInstant AOS-8.12.xx: 8.12.0.2 والإصدارات الأقدم، وInstant AOS-8.10.xx: 8.10.0.13 والإصدارات الأقدم.
تلاحظ HPE في”http://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw04722en_us&docLocale=en_US” الهدف=”_blank” rel=”nofollow noopener”> استشارات أمنية أن العديد من إصدارات البرنامج التي وصلت إلى تواريخ انتهاء الصيانة الخاصة بها قد تأثرت أيضًا بهذه العيوب، ولن تكون هناك تحديثات أمنية لها.
الإصلاحات والحلول
لمعالجة الثغرات الأمنية في نقاط وصول شبكة Aruba، توصي HPE المستخدمين بتحديث أجهزتهم إلى إصدارات البرامج التالية أو الأحدث:
- AOS-10.7.xx: التحديث إلى الإصدار 10.7.0.0 والإصدارات الأحدث.
- AOS-10.4.xx: التحديث إلى الإصدار 10.4.1.5 أو الأحدث.
- Instant AOS-8.12.xx: قم بالتحديث إلى الإصدار 8.12.0.3 أو الأحدث.
- لحظة AOS-8.10.xx: التحديث إلى الإصدار 8.10.0.14 أو أعلى
قدمت HPE أيضًا حلولاً بديلة لجميع العيوب الستة للمساعدة في الحالات التي لا يمكن فيها تثبيت تحديثات البرامج على الفور:
بالنسبة للعيوب الخطيرة، فإن الحل البديل المقترح هو تقييد/حظر الوصول إلى منفذ UDP 8211 من كافة الشبكات غير الموثوق بها.
بالنسبة لبقية المشكلات، يوصي البائع بتقييد الوصول إلى واجهة سطر الأوامر (CLI) وواجهات الإدارة المستندة إلى الويب عن طريق وضعها على شريحة مخصصة من الطبقة الثانية أو شبكة محلية ظاهرية (VLAN)، والتحكم في الوصول باستخدام سياسات جدار الحماية في الطبقة 3 وما فوق، مما قد يحد من احتمالات التعرض.
لم تتم ملاحظة أي استغلال نشط للعيوب، ولكن تطبيق التحديثات الأمنية و/أو وسائل التخفيف يأتي كتوصية قوية.