HPE Aruba Networking (trước đây là Aruba Networks) đã phát hành các bản cập nhật bảo mật để giải quyết các lỗi nghiêm trọng ảnh hưởng đến ArubaOS có thể dẫn đến thực thi mã từ xa (RCE) trên các hệ thống bị ảnh hưởng.
Trong số 10 lỗi bảo mật, bốn lỗi được đánh giá nghiêm trọng về mức độ nghiêm trọng -
- CVE-2024-26304 (điểm CVSS: 9.8) – lỗ hổng tràn bộ đệm chưa được xác thực trong dịch vụ quản lý L2/L3 được truy cập thông qua giao thức PAPI
- CVE-2024-26305 (điểm CVSS: 9.8) - lỗ hổng tràn bộ đệm chưa được xác thực trong tiện ích daemon được truy cập thông qua giao thức PAPI
- CVE-2024-33511 (điểm CVSS: 9.8) – lỗ hổng tràn bộ đệm chưa được xác thực trong dịch vụ báo cáo tự động được truy cập thông qua giao thức PAPI
- CVE-2024-33512 (điểm CVSS: 9.8) – lỗ hổng tràn bộ đệm chưa được xác thực trong cơ sở dữ liệu xác thực người dùng cục bộ được truy cập thông qua giao thức PAPI
Một tác nhân đe dọa có thể khai thác các lỗi tràn bộ đệm nói trên bằng cách gửi các gói được chế tạo đặc biệt đến cổng UDP Giao diện lập trình ứng dụng quy trình (PAPI) (8211), do đó có được khả năng thực thi mã tùy ý như một người dùng đặc quyền trên hệ điều hành cơ bản.
Các lỗ hổng, ảnh hưởng đến Mobility Conductor (trước đây là Mobility Master), Mobility Controllers và WLAN Gateways và SD-WAN Gateways do Aruba Central quản lý.
Một nhà nghiên cứu bảo mật tên là Chancen đã được ghi nhận là người phát hiện và báo cáo bảy trong số 10 vấn đề, bao gồm bốn lỗ hổng tràn bộ đệm nghiêm trọng.
Người dùng nên áp dụng các bản sửa lỗi mới nhất để giảm thiểu các mối đe dọa tiềm ẩn. Là giải pháp tạm thời cho ArubaOS 8.x, công ty khuyến nghị người dùng bật tính năng Bảo mật PAPI nâng cao bằng khóa không mặc định.