أصدرت HPE Aruba Networking مشورة الأمان الخاصة بها في أبريل 2024 والتي توضح بالتفصيل الثغرات الأمنية المهمة في تنفيذ التعليمات البرمجية عن بُعد (RCE) والتي تؤثر على إصدارات متعددة من ArubaOS، وهو نظام تشغيل الشبكة الخاص بها.
ال استشاري يسرد عشر نقاط ضعف، أربعة منها ذات خطورة حرجة (CVSS v3.1: 9.8) ومشاكل تجاوز سعة المخزن المؤقت غير المصادق عليها والتي يمكن أن تؤدي إلى تنفيذ التعليمات البرمجية عن بعد (RCE).
المنتجات المتأثرة بالعيوب التي تم الكشف عنها حديثًا هي:
- موصل التنقل لشبكات HPE Aruba، ووحدات التحكم في التنقل، وبوابات WLAN، وبوابات SD-WAN التي تديرها Aruba Central.
- ArubaOS 10.5.1.0 والإصدارات الأقدم، 10.4.1.0 والإصدارات الأقدم، 8.11.2.1 والإصدارات الأقدم، و8.10.0.10 والإصدارات الأقدم.
- جميع إصدارات ArubaOS وSD-WAN التي وصلت إلى EoL. يتضمن ذلك ArubaOS الإصدارات الأقل من 10.3 و8.9 و8.8 و8.7 و8.6 و6.5.4 وSD-WAN من 2.3.0 إلى 8.7.0.0 ومن 2.2 إلى 8.6.0.4.
العيوب الأربعة الحرجة في تنفيذ التعليمات البرمجية عن بعد هي:
- CVE-2024-26305 – خلل في برنامج الأداة المساعدة ArubaOS الذي يسمح لمهاجم غير مصادق بتنفيذ تعليمات برمجية عشوائية عن بعد عن طريق إرسال حزم معدة خصيصًا إلى منفذ UDP (8211) PAPI (بروتوكول إدارة نقطة الوصول في أروبا).
- CVE-2024-26304 – خطأ في خدمة إدارة L2/L3، مما يسمح بتنفيذ تعليمات برمجية عن بعد غير مصادق عليها من خلال الحزم المعدة المرسلة إلى منفذ PAPI UDP.
- CVE-2024-33511 – ثغرة أمنية في خدمة التقارير التلقائية يمكن استغلالها عن طريق إرسال حزم معدة خصيصًا إلى منفذ بروتوكول PAPI للسماح للمهاجمين غير المصادقين بتنفيذ تعليمات برمجية عشوائية عن بُعد.
- CVE-2024-33512 – خطأ يسمح للمهاجمين عن بعد غير المصادقين بتنفيذ التعليمات البرمجية عن طريق استغلال تجاوز سعة المخزن المؤقت في خدمة قاعدة بيانات مصادقة المستخدم المحلية التي يتم الوصول إليها عبر بروتوكول PAPI.
للتخفيف من العيوب، يوصي البائع بتمكين أمان PAPI المحسن والترقية إلى الإصدارات المصححة لنظام ArubaOS.
تتناول أحدث الإصدارات أيضًا ست نقاط ضعف أخرى، جميعها مصنفة على أنها “متوسطة” من حيث الخطورة (CVSS v3.1: 5.3 – 5.9) والتي قد تسمح للمهاجمين غير المصادقين برفض الخدمة على الأجهزة الضعيفة والتسبب في اضطرابات تشغيلية مكلفة.
إصدارات الترقية المستهدفة التي تعالج جميع العيوب العشرة هي:
- ArubaOS 10.6.0.0 وما فوق
- ArubaOS 10.5.1.1 وما فوق
- ArubaOS 10.4.1.1 وما فوق
- ArubaOS 8.11.2.2 وما فوق
- ArubaOS 8.10.0.11 وما فوق
في الوقت الحالي، ليست HPE Aruba Networking على علم بأي حالات استغلال نشط أو وجود عمليات استغلال لإثبات المفهوم (PoC) للثغرات الأمنية المذكورة.
ومع ذلك، يوصى مسؤولي النظام بتطبيق التحديثات الأمنية المتوفرة في أسرع وقت ممكن.