Aruba Networks, 30’dan fazla güvenlik açığını kapsayan bir güvenlik sürümünün parçası olarak PAPI protokolü için altı kritik yama yayınladı.
PAPI, şirketin erişim noktası yönetim protokolüdür.
CVE’ler atanan ancak henüz tam olarak açıklanmayan dört hata, protokoldeki kimliği doğrulanmamış komut enjeksiyonlarını kapsar.
Aruba’nın danışma belgesi, CVE-2023-22747, CVE-2023-22748, CVE-2023-22749 ve CVE-2023-22750’nin kimliği doğrulanmamış uzaktan kod yürütülmesine yol açabileceğini belirtir.
Başarılı bir istismar, saldırgana işletim sistemi kodunu ayrıcalıklı bir kullanıcı olarak yürütme yeteneği verir.
Ayrıca protokolde, sistemi uzaktan kod yürütmeye maruz bırakan CVE-2023-22751 ve CVE-2023-22752 olmak üzere iki yığın tabanlı arabellek taşması güvenlik açığı vardır.
Erik de Jong tarafından Bugcrowd aracılığıyla bildirilen hatalar, UDP bağlantı noktası 8211 üzerinden hedefe hazırlanmış paketler gönderilerek istismar ediliyor.
PAPI, ArubaOS süreçlerindeki beş yüksek dereceli güvenlik açığından yararlanmak için vektör olarak da kullanılabilir: CVE-2023-22753, CVE-2023-22754, CVE-2023-22755, CVE-2023-22756 ve CVE-2023-22757.
Kimliği doğrulanmamış arabellek taşması hataları ayrıca bir saldırganın işletim sistemi komutlarını ayrıcalıklı bir kullanıcı olarak çalıştırmasına izin verir ve PAPI protokolü aracılığıyla saldırıya uğrayabilir. Aruba, keşifleri için Haoliang Lu’ya itibar etti.
Hatalar ArubaOS 8.6.x şubesinde yamalanamadı, bu nedenle bu kullanıcıların bir geçici çözüm uygulaması veya 8.10.x şubesine yükseltme yapması gerekecek.
Ayrıca işletim sisteminde (CVE-2021-3712) ASN.1 dizelerini işleyen bir okuma arabelleği taşması gibi yüksek dereceli bir güvenlik açığı vardır, ancak yalnızca kimliği doğrulanmış bir kullanıcı tarafından saldırıya uğrayabilir.
Ayrıca ArubaOS web yönetimi arayüzünde (CVE-2023-22758, CVE-2023-22759, CVE-2023-22760 ve CVE-2023-2276) ve komut satırı arayüzünde (CVE-2023-22762, CVE-2023) birkaç hata vardır. -22763, CVE-2023-22764, CVE-2023-22765, CVE-2023-22766, CVE-2023-22767, CVE-2023-22768, CVE-2023-22769 ve CVE-2023-22770), tümü yalnızca kimliği doğrulanmış bir kullanıcı tarafından kullanılabilir.
Danışmanlık belgesinin kapsadığı ürünler, Aruba Central tarafından yönetilen WLAN ve SD-WAN ağ geçitlerinin yanı sıra şirketin Mobility Master/Conductor, Mobility Controller’larını içerir.
Etkilenen yazılım dalları şunlardır: ArubaOS 8.6.0.19 ve altı, 8.10.0.4 ve altı, 10.3.1.0 ve altı; SD-WAN 8.7.0.0-2.3.0.8 ve altı ile birlikte.