Aruba Networks が ArubaOS の 6 つの重大な脆弱性を修正

Aruba Networks は、独自のネットワークオペレーティングシステムである ArubaOS の複数のバージョンに影響を与える 6 つの重大度の脆弱性について顧客に通知するセキュリティアドバイザリを公開しました。

この脆弱性は、Aruba Mobility Conductor、Aruba Mobility Controller、および Aruba が管理する WLAN ゲートウェイと SD-WAN ゲートウェイに影響を与えます。

Aruba Networks はカリフォルニアに本拠を置く Hewlett Packard Enterprise の子会社で、コンピュータネットワーキングとワイヤレス接続ソリューションを専門としています。

今回 Aruba が対処した重大な欠陥は、コマンドインジェクションの欠陥と、PAPI プロトコル (Aruba Networks アクセスポイント管理プロトコル) におけるスタックベースのバッファオーバーフローの問題の 2 つのカテゴリに分けることができます。

すべての欠陥は、セキュリティアナリストの Erik de Jong によって発見され、公式のバグ報奨金プログラムを通じてベンダーに報告されました。

コマンドインジェクションの脆弱性はCVE-2023-22747 、 CVE-2023-22748 、 CVE-2023-22749 、およびCVE-2023-22750として追跡されており、CVSS v3 の評価は 10.0 点中 9.8 です。

認証されていないリモートの攻撃者は、特別に細工されたパケットを UDP ポート 8211 経由で PAPI に送信することで、それらを悪用し、ArubaOS の特権ユーザーとして任意のコードを実行できます。

スタックベースのバッファオーバーフローバグはCVE-2023-22751およびCVE-2023-22752として追跡されており、CVSS v3 評価は 9.8 です。

これらの欠陥は、特別に細工されたパケットを UDP ポート 8211 経由で PAPI に送信することで悪用され、認証されていないリモートの攻撃者が ArubaOS の特権ユーザーとして任意のコードを実行できるようになります。

影響を受けるバージョンは次のとおりです。

Aruba によると、対象のアップグレードバージョンは次のとおりです。

残念ながら、サポート終了 (EoL) に達したいくつかの製品バージョンもこれらの脆弱性の影響を受けており、修正プログラムを受け取ることはありません。これらは：

セキュリティアップデートを適用できない、または EoL デバイスを使用しているシステム管理者向けの回避策は、デフォルト以外のキーを使用して「Enhanced PAPI Security」モードを有効にすることです。

ただし、緩和策を適用しても、 Aruba のセキュリティアドバイザリに記載されている別の 15 件の高重大度および 8 件の中重大度の脆弱性には対処できず、これらは新しいバージョンで修正されています。

Aruba は、アドバイザリのリリース日である 2022 年 2 月 28 日の時点で、これらの脆弱性の公開討論、エクスプロイトコード、または積極的なエクスプロイトを認識していないと述べています。

Comments