HPE Aruba, erişim noktalarını etkileyen kritik güvenlik açıkları konusunda uyarıyor. Bu, ağ saldırganlarının önceden kimlik doğrulaması yapmadan rastgele kod eklemesine ve yürütmesine olanak tanır. Güncellenen yazılım güvenlik açıklarını iyileştirmelidir. BT yöneticileri bunları hızlı bir şekilde kurmalıdır.
Duyuru
Güvenlik duyurusunda HPE Aruba geliştiricileri, güncellemelerin toplam altı güvenlik açığını kapattığını yazıyor. İkisinin ciddiyeti kritik; geliştiriciler üçünü yüksek riskli olarak sınıflandırıyor ve biri hala orta riskli olarak kabul ediliyor.
HPE Aruba erişim noktalarındaki kritik güvenlik açıkları
Saldırganlar, dikkatle hazırlanmış ağ paketleri göndererek, PAPI protokolündeki bir güvenlik açığından yararlanarak komutları temeldeki Komut Satırı Arayüzü (CLI) hizmetine kaçırabilirler. Bu, işletim sisteminde ayrıcalıklı kullanıcı haklarıyla rastgele kod yürütülmesine yol açar (CVE-2024-42509, CVSS) 9.8“Risk”eleştirmen“).Başka bir güvenlik açığı da aynı açıklamaya sahip (CVE-2024-47460, CVSS 9.0, eleştirmen).
Oturum açmış kullanıcılar, Instant AOS 8 ve AOS 10 işletim sistemlerinde komutları CLI hizmetine de iletebilir. Bu aynı zamanda enjekte edilmiş kod yürütülmesine ve işletim sisteminin tamamen tehlikeye atılmasına yol açabilir (CVE-2024-47461, CVSS). 7.2, yüksek). Ek olarak, kimliği doğrulanmış kullanıcılar Instant AOS-8 ve AOS-10'da isteğe bağlı dosyalar oluşturabilir. Bu, saldırganların rastgele kod yürütmesine olanak tanır (CVE-2024-47462, CVE-2024-47463, CVSS) 7.2, yüksek). Kayıtlı kullanıcıların Instant AOS-8 ve AOS-10'da (CVE-2024-47464, CVSS) rastgele dosyaları kopyalamasına olanak tanıyan yol geçişi güvenlik açığı nedeniyle yetkisiz dosya erişimi mümkündür. 6.8, orta).
Güvenlik danışma belgesinde ayrıca bir güncelleme mümkün olana kadar güvenlik açıklarının kötüye kullanılmasını önleyebilecek geçici karşı önlemler de listelenmektedir. Ayrıca etkilenen tüm cihaz serilerini de listeler. Güvenlik açığı bulunan donanım yazılımı sürümleri için güncellemeler mevcuttur: 10.7.0.0, AOS-10.7.xx için hataları düzeltir ve 10.4.1.5 ve üzeri, AOS-10.4.xx için mevcuttur. Instant AOS-8 8.12.xx, 8.12.0.3 tarafından korunurken, Instant AOS-8 8.10.xx, 8.10.0.14 tarafından korunmaktadır. Güncellemeler HPE Networking Yazılım Portalından indirilebilir.
Yaklaşık bir ay önce HPE Aruba, erişim noktasının ürün yazılımındaki birçok güvenlik açığını kapatmak zorunda kaldı. Burada da saldırganların internetten kötü amaçlı kod enjekte etmesine ve yürütmesine izin verildi.
(Bilmiyorum)
Duyuru
Güvenlik duyurusunda HPE Aruba geliştiricileri, güncellemelerin toplam altı güvenlik açığını kapattığını yazıyor. İkisinin ciddiyeti kritik; geliştiriciler üçünü yüksek riskli olarak sınıflandırıyor ve biri hala orta riskli olarak kabul ediliyor.
HPE Aruba erişim noktalarındaki kritik güvenlik açıkları
Saldırganlar, dikkatle hazırlanmış ağ paketleri göndererek, PAPI protokolündeki bir güvenlik açığından yararlanarak komutları temeldeki Komut Satırı Arayüzü (CLI) hizmetine kaçırabilirler. Bu, işletim sisteminde ayrıcalıklı kullanıcı haklarıyla rastgele kod yürütülmesine yol açar (CVE-2024-42509, CVSS) 9.8“Risk”eleştirmen“).Başka bir güvenlik açığı da aynı açıklamaya sahip (CVE-2024-47460, CVSS 9.0, eleştirmen).
Oturum açmış kullanıcılar, Instant AOS 8 ve AOS 10 işletim sistemlerinde komutları CLI hizmetine de iletebilir. Bu aynı zamanda enjekte edilmiş kod yürütülmesine ve işletim sisteminin tamamen tehlikeye atılmasına yol açabilir (CVE-2024-47461, CVSS). 7.2, yüksek). Ek olarak, kimliği doğrulanmış kullanıcılar Instant AOS-8 ve AOS-10'da isteğe bağlı dosyalar oluşturabilir. Bu, saldırganların rastgele kod yürütmesine olanak tanır (CVE-2024-47462, CVE-2024-47463, CVSS) 7.2, yüksek). Kayıtlı kullanıcıların Instant AOS-8 ve AOS-10'da (CVE-2024-47464, CVSS) rastgele dosyaları kopyalamasına olanak tanıyan yol geçişi güvenlik açığı nedeniyle yetkisiz dosya erişimi mümkündür. 6.8, orta).
Güvenlik danışma belgesinde ayrıca bir güncelleme mümkün olana kadar güvenlik açıklarının kötüye kullanılmasını önleyebilecek geçici karşı önlemler de listelenmektedir. Ayrıca etkilenen tüm cihaz serilerini de listeler. Güvenlik açığı bulunan donanım yazılımı sürümleri için güncellemeler mevcuttur: 10.7.0.0, AOS-10.7.xx için hataları düzeltir ve 10.4.1.5 ve üzeri, AOS-10.4.xx için mevcuttur. Instant AOS-8 8.12.xx, 8.12.0.3 tarafından korunurken, Instant AOS-8 8.10.xx, 8.10.0.14 tarafından korunmaktadır. Güncellemeler HPE Networking Yazılım Portalından indirilebilir.
Yaklaşık bir ay önce HPE Aruba, erişim noktasının ürün yazılımındaki birçok güvenlik açığını kapatmak zorunda kaldı. Burada da saldırganların internetten kötü amaçlı kod enjekte etmesine ve yürütmesine izin verildi.
(Bilmiyorum)