Aruba Access Points の複数の脆弱性が FIX：デバイスの乗っ取りにいたる可能性

HPE Aruba Networking Patches Critical Vulnerabilities in Access Points

2024/05/14 SecurityOnline — HPE Aruba Networking が顧客に対して警告しているのは、InstantOS／ArubaOS 10 を実行している Aruba Access Point に存在する、複数の深刻な脆弱性への早急なパッチ適用の必要性である。これらの脆弱性を悪用する、認証されていないリモートの攻撃者が悪意のコードを実行し、標的とするデバイスを完全に乗っ取る可能性が生じている。


新たに確認された脆弱性には、PAPI (Aruba Access Point Management Protocol) の UDP ポート (8211) を介してアクセスが可能な各種サービスにおける、バッファ・オーバーフローおよびコマンド・インジェクションの欠陥が含まれる。これらの脆弱性は致命的 (CVSS：9.8) であり、認証されていないリモート・コードが、特権ユーザー・レベルでとして実行される可能性が高いと示唆される。

  1. Buffer Overflow Vulnerabilities in CLI Service (CVE-2024-31466, CVE-2024-31467):
    • Exploitation through specially crafted packets could lead to remote code execution.
  2. Buffer Overflow Vulnerabilities in Central Communications Service (CVE-2024-31468, CVE-2024-31469):
    • Similar exploitation method leading to remote code execution.
  3. Buffer Overflow Vulnerability in SAE Service (CVE-2024-31470):
    • Targeting the SAE service for remote code execution.
  4. Command Injection Vulnerability in Central Communications Service (CVE-2024-31471):
    • Allows remote code execution via crafted packets.
  5. Command Injection Vulnerabilities in Soft AP Daemon Service (CVE-2024-31472):
    • Enables remote code execution.Ezoic
  6. Command Injection Vulnerability in Deauthentication Service (CVE-2024-31473):
    • Potential for remote code execution.
  7. Arbitrary File Deletion in CLI Service (CVE-2024-31474) and Central Communications Service (CVE-2024-31475):
    • Could disrupt normal operations and compromise system integrity.
  8. Authenticated Command Injection in CLI Interface (CVE-2024-31476, CVE-2024-31477):
    • Enables privileged command execution by authenticated users.
  9. Denial-of-Service (DoS) Vulnerabilities in Soft AP Daemon Service (CVE-2024-31478), Central Communications Service (CVE-2024-31479), CLI Service (CVE-2024-31480, CVE-2024-31481), and ANSI Escape Code Service (CVE-2024-31482):
    • Leads to service interruptions.
  10. Sensitive Information Disclosure in CLI Service (CVE-2024-31483):
    • Authenticated access could lead to arbitrary file reading.
影響を受けるソフトウェアのバージョン
  • ArubaOS:
    • 10.5.x.x: 10.5.1.0 and below
    • 10.4.x.x: 10.4.1.0 and below
  • InstantOS:
    • 8.11.x.x: 8.11.2.1 and below
    • 8.10.x.x: 8.10.0.10 and below
    • 8.6.x.x: 8.6.0.23 and below

HPE Aruba Networking が強く推奨するのは、Aruba Access Point のバージョンを、パッチ適用済みの最新版にアップグレードすることだ。このバージョンの InstantOS を使用すれば、”cluster-security” を有効にすることで、一時的な回避策が達成できる。また、信頼できないネットワークからの、ポート UDP/8211 へのアクセスをブロックすることで、パッチが適用されるまでのリスクを軽減することも可能だ。

HPE Aruba Networking では、以下のソフトウェア・バージョンへのアップグレードを推奨している。それにより、特定された脆弱性に対して、完全な対処が可能になる：

  • ArubaOS:
    • 10.6.x.x: 10.6.0.0 and above
    • 10.5.x.x: 10.5.1.1 and above
    • 10.4.x.x: 10.4.1.1 and above
  • InstantOS:
    • 8.12.x.x: 8.12.0.0 and above
    • 8.11.x.x: 8.11.2.2 and above
    • 8.10.x.x: 8.10.0.11 and above
    • 8.6.x: 8.6.0.24 and above

このアドバイザリのリリースされた時点において、これらの脆弱性を標的とする公開ディスカッションやエクスプロイト・コードを、HPE Aruba Networking は確認していない。

詳細な技術情報およびサポートについては、HPE Aruba Networking のセキュリティ・アドバイザリ全文を確認し、不明な点などについてはサポート・サービスに問い合わせてほしい。

HPE Aruba から、大量の脆弱性が公表されました。前回の Aruba トピックは、2024/05/01 の「HPE ArubaOS の 10件の脆弱性が FIX：RCE ／DoS 攻撃が生じる恐れ」となっています。よろしければ、Aruba で検索と併せて、ご参照ください。