HPE kurumsal wi-fi iş birimi Aruba Networks, erişim noktaları için en son güvenlik yamalarını açıkladı.
Aruba’nın UDP bağlantı noktası 8211 aracılığıyla erişilen erişim noktası yönetim protokolü PAPI aracılığıyla erişilebilen “birden çok temel hizmette” sekiz arabellek taşması güvenlik açığı bulundu.
8211 numaralı bağlantı noktasına gönderilen hazırlanmış paketler, güvenlik açıklarını tetikleyerek, uzaktaki bir saldırganın ayrıcalıklı bir kullanıcı olarak ürünlerin işletim sisteminde rasgele kod yürütmesine neden olabilir.
Hatalar ArubaOS ve InstantOS’ta mevcut ve şirket, bu işletim sistemlerinin tüm dallarına yama uygulanamayacağı konusunda uyardı.
“Bu belirli güvenlik açıklarının yapısı nedeniyle, yama alan şubeler yalnızca ArubaOS 10.4.0.0 ve üzeriydi; InstantOS 8.11.x: 8.11.0.0 ve üstü; ve Aruba InstantOS 8.10.0.3 ve üzeri,” diye yazdı şirket.
Sabit şubelere yükseltme yapamayan müşteriler için bazı geçici çözümler vardır.
InstantOS 8.x veya 6.x kodunu çalıştıran cihazlarda, yöneticiler açıktan yararlanmayı engellemek için küme güvenliğini etkinleştirebilir.
Ancak bu, ArubaOS 10 cihazları için bir seçenek değildir; şirket bunun yerine UDP bağlantı noktası 8211’in güvenilmeyen tüm ağlardan engellenmesi gerektiğini söyledi.
Yine PAPI kullanılarak erişilen bir hizmette PAPI, CVE-2023-22787’de yüksek önem dereceli bir hizmet reddi de vardır. Aruba’nın henüz bir yaması yok, ancak UDP bağlantı noktası 8821’in tekrar engellenmesi hafifletme sağlıyor.
Aruba InstantOS ve ArubaOS 10 komut satırı arabiriminde ayrıca, kötüye kullanılması durumunda uzaktan kod yürütme olanağı sağlayan üç yüksek önem dereceli komut enjeksiyon hatası (CVE-2023-22788, CVE-2023-22789, CVE-2023-22790) vardır. işletim sisteminin ayrıcalıklı kullanıcısı.
Hatalar, hata ödül programı aracılığıyla Erik de Jong ve Daniel Jensen tarafından ve ClearBearing’den Zack Colgan tarafından Aruba’ya bildirildi.