Se han reportado vulnerabilidades críticas de ejecución remota de código (RCE) que afectan múltiples versiones de ArubaOS.
Productos afectados:
- Mobility Conductor (formerly Mobility Master);
- Mobility Controllers;
- WLAN Gateways and SD-WAN Gateways managed by Aruba Central.
Versiones de software afectados:
- ArubaOS 10.5.x.x: 10.5.1.0 y anteriores;
- ArubaOS 10.4.x.x: 10.4.1.0 y anteriores;
- ArubaOS 8.11.x.x: 8.11.2.1 y anteriores;
- ArubaOS 8.10.x.x: 8.10.0.10 y anteriores.
Todas las versiones de ArubaOS y SD-WAN que han alcanzado el fin de su vida útil (EoL). Esto incluye ArubaOS versiones anteriores a 10.3, 8.9, 8.8, 8.7, 8.6, 6.5.4, y SD-WAN 2.3.0 hasta 8.7.0.0 y la versión 2.2 hasta 8.6.0.4.
Las vulnerabilidades críticas están identificadas como:
CVE-2024-26305 (CVSSv3 9.8): un fallo en el demonio de utilidades de ArubaOS que podría permitir a un actor malicioso no autenticado ejecutar código arbitrario de forma remota mediante el envío de paquetes modificados al puerto 8211 UDP PAPI (protocolo de gestión de puntos de acceso de Aruba).
CVE-2024-26304 (CVSSv3 9.8): Vulnerabilidad de desbordamiento de búfer en el servicio subyacente de gestión de capas L2/L3 que podría permitir la ejecución remota de código (RCE) no autenticado mediante el envío de paquetes especialmente diseñados destinados al puerto UDP (8211) de PAPI (protocolo de gestión de puntos de acceso de Aruba)
CVE-2024-33511 (CVSSv3 9.8): Vulnerabilidad de desbordamiento de búfer en el servicio subyacente de Informes Automáticos que podría permitir la ejecución remota de código (RCE) no autenticado mediante el envío de paquetes especialmente diseñados destinados al puerto UDP (8211) de PAPI (protocolo de gestión de puntos de acceso de Aruba).
CVE-2024-33512 (CVSSv3 9.8) : Vulnerabilidad de desbordamiento de búfer en el servicio subyacente de la Base de Datos de Autenticación de Usuario Local que podría permitir la ejecución remota de código (RCE) no autenticado mediante el envío de paquetes especialmente diseñados destinados al puerto UDP (8211) de PAPI (protocolo de gestión de puntos de acceso de Aruba).
Recomendación:
Se recomienda habilitar la Seguridad PAPI Mejorada en los sistemas afectados y actualizar a las versiones con parches para ArubaOS.
Referencia:
- https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2024-004.txt
- https://www.bleepingcomputer.com/news/security/hpe-aruba-networking-fixes-four-critical-rce-flaws-in-arubaos/
- https://www.incibe.es/incibe-cert/alerta-temprana/avisos/multiples-vulnerabilidades-en-arubaos-de-hpe-arubaos/