Aruba

HPE Aruba Networking は、同社の Aruba Access Point のコマンドラインインターフェイス (CLI) サービスに、認証されていない攻撃者が脆弱なデバイス上でリモートでコードを実行される可能性のある 3 つの重大な脆弱性を修正しました。

これらの脆弱性 (CVE-2024-42505、CVE-2024-42506、CVE-2024-42507) は、PAPI (Aruba のアクセスポイント管理プロトコル) の UDP ポート (8211) に特別に細工したパケットを送信することで悪用され、脆弱なデバイス上で任意のコードを実行するための特権アクセスを得ることができます。

Hewlett Packard Enterprise（HPE）の子会社（旧Aruba Networks）は、今週初めに発表したセキュリティアドバイザリで、このセキュリティ欠陥がInstant AOS-8およびAOS-10を実行するAruba Access Pointに影響することを確認した。

この脆弱性は、セキュリティ研究者のErik De Jong氏が同社のバグ報奨金プログラムを通じて報告したもので、影響を受けるソフトウェアのバージョンは以下の通り：

  • AOS-10.6.x.x：10.6.0.2以下
  • AOS-10.4.x.x：10.4.1.3以下
  • インスタントAOS-8.12.x.x：8.12.0.1以下
  • インスタントAOS-8.10.x.x：8.10.0.13以下

同社は、潜在的な攻撃を防ぐために、脆弱性のあるアクセスポイントに最新のセキュリティアップデート（HPE Networking Support Portalから入手可能）をインストールするよう管理者に呼びかけている。

ワークアラウンドが利用可能。

Instant AOS-8.xコードを実行しているデバイスの一時的な回避策として、管理者は「cluster-security」を有効にして悪用の試みをブロックできる。AOS-10 デバイスについては、信頼できないすべてのネットワークからのポート UDP/8211 へのアクセスをブロックすることを推奨している。

また、HPE Aruba Networkingは、Networking Mobility Conductors、Mobility Controllers、SD-WAN Gatewayなどの他のAruba製品には影響がないことを確認している。

HPE Product Security Response Teamによると、悪用コードは公開されておらず、3つの重大な脆弱性を狙った攻撃の報告もないという。

同社は今年初めにも、独自のネットワーク・オペレーティング・システムであるArubaOSの複数のバージョンに影響を及ぼす4件の重大なRCE脆弱性にパッチを適用している。

2月、Hewlett Packard Enterprise（HPE）は、脅威行為者が認証情報やその他の機密情報（HPEから盗まれたとされる）をハッキングフォーラムで販売するために投稿した後、潜在的な侵害を調査していると発表した。

その2週間前には、同社のMicrosoft Office 365メール環境が2023年5月にロシアの対外情報庁（SVR）につながる脅威グループAPT29の一員と思われるハッカーによって侵害されたと報告している。