HPE ha pubblicato il 5 novembre 2024 un bollettino di sicurezza relativo a due vulnerabilità critiche, CVE-2024-42509 e CVE-2024-47460, che interessano i punti di accesso Aruba Networks. Queste vulnerabilità riguardano il protocollo di gestione dei punti di accesso Aruba, PAPI (porta UDP 8211), e potrebbero consentire l’esecuzione remota di codice (RCE) non autenticato tramite pacchetti appositamente realizzati. Sebbene al momento non siano stati osservati casi di sfruttamento attivo, la gravità di queste vulnerabilità le rende un obiettivo interessante per attori malevoli, in particolare quelli alla ricerca di accesso privilegiato alle reti.

Riassunto tecnico

Le vulnerabilità in oggetto consentono ad attaccanti non autenticati di eseguire attacchi di injection di comandi inviando pacchetti malevoli al protocollo PAPI sulla porta UDP 8211. Se sfruttate, queste vulnerabilità potrebbero condurre ad un’esecuzione remota di codice (RCE) con accesso privilegiato sui punti di accesso Aruba interessati. Ciò potrebbe consentire agli attaccanti di compromettere i dispositivi e ottenere il controllo dell’infrastruttura di rete. Sebbene non siano stati identificati exploit PoC (proof-of-concept) pubblici, i rischi associati a queste vulnerabilità restano elevati, soprattutto poiché gli attaccanti potrebbero ingegnerizzare al contrario le patch per colpire sistemi non aggiornati.

Raccomandazioni

Aggiornamento alla versione corretta più recente:

• HPE raccomanda di aggiornare alle seguenti versioni contenenti le correzioni:
• Aruba Access Points (AOS-10.4.x.x): aggiornare alla versione 10.4.1.5 o superiore.
• Aruba Access Points (AOS-10.7.x.x): aggiornare alla versione 10.7.0.0 o superiore.
• Instant AOS-8.12.x.x: aggiornare alla versione 8.12.0.3 o superiore.
• Instant AOS-8.10.x.x: aggiornare alla versione 8.10.0.14 o superiore.

Soluzioni temporanee per sistemi non aggiornati:

• Per i dispositivi con Instant AOS-8, abilitare la sicurezza del cluster tramite il comando cluster-security mitiga la vulnerabilità.
• Per i dispositivi con AOS-10, è consigliato bloccare l’accesso alla porta UDP 8211 proveniente da reti non fidate al fine di ridurre la superficie d’attacco.