Η Hewlett Packard Enterprise (HPE) κυκλοφόρησε ενημερώσεις για το λογισμικό Instant AOS-8 και AOS-10 για την αντιμετώπιση δύο κρίσιμων τρωτών σημείων στα σημεία πρόσβασης δικτύων της Αρούμπα.
Τα δύο ζητήματα ασφαλείας θα μπορούσαν να επιτρέψουν σε έναν απομακρυσμένο εισβολέα να εκτελέσει ένεση εντολών χωρίς έλεγχο ταυτότητας, στέλνοντας ειδικά δημιουργημένα πακέτα στο πρωτόκολλο διαχείρισης σημείου πρόσβασης της Αρούμπα (PAPI) μέσω της θύρας UDP 8211.
Τα κρίσιμα ελαττώματα παρακολουθούνται ως CVE-2024-42509 και CVE-2024-47460 και έχουν αξιολογηθεί με βαθμολογία σοβαρότητας 9,8 και 9,0, αντίστοιχα. Και οι δύο βρίσκονται στην υπηρεσία διεπαφής γραμμής εντολών (CLI), η οποία είναι προσβάσιμη μέσω του πρωτοκόλλου PAPI.
Η ενημέρωση διορθώνει επίσης άλλες τέσσερις ευπάθειες ασφαλείας:
- CVE-2024-47461 (7,2 βαθμολογία σοβαρότητας): πιστοποιημένη απομακρυσμένη εκτέλεση εντολών που θα μπορούσε να επιτρέψει σε έναν εισβολέα να εκτελέσει αυθαίρετες εντολές στο υποκείμενο λειτουργικό σύστημα
- CVE-2024-47462 και CVE-2024-47463 (7,2 βαθμολογία σοβαρότητας): ένας επιβεβαιωμένος εισβολέας θα μπορούσε να δημιουργήσει αυθαίρετα αρχεία, τα οποία ενδεχομένως να οδηγήσουν σε απομακρυσμένη εκτέλεση εντολών
- CVE-2024-47464 (6,8 βαθμολογία σοβαρότητας): ένας επιβεβαιωμένος εισβολέας που τον εκμεταλλεύεται θα μπορούσε να έχει πρόσβαση σε μη εξουσιοδοτημένα αρχεία μέσω της διέλευσης διαδρομής
Και οι έξι ευπάθειες επηρεάζουν τις εκδόσεις AOS-10.4.xx: 10.4.1.4 και παλαιότερες, το Instant AOS-8.12.xx: 8.12.0.2 και παλαιότερες εκδόσεις και το Instant AOS-8.10.xx: 8.10.0.13 και παλαιότερες εκδόσεις.
HPE σημειώνει στο συμβουλευτική για την ασφάλεια ότι αρκετές ακόμη εκδόσεις του λογισμικού που έχουν φτάσει τις ημερομηνίες λήξης της συντήρησης επηρεάζονται επίσης από αυτές τις ατέλειες, δεν θα υπάρχουν ενημερώσεις ασφαλείας για αυτές.
Διορθώσεις και λύσεις
Για την αντιμετώπιση ευπαθειών στα σημεία πρόσβασης δικτύου της Αρούμπα, η HPE συνιστά στους χρήστες να ενημερώσουν τις συσκευές τους στις ακόλουθες εκδόσεις λογισμικού ή νεότερες:
- AOS-10.7.xx: Ενημέρωση στην έκδοση 10.7.0.0 και μεταγενέστερη.
- AOS-10.4.xx: Ενημέρωση στην έκδοση 10.4.1.5 ή νεότερη.
- Instant AOS-8.12.xx: Ενημέρωση στην έκδοση 8.12.0.3 ή νεότερη.
- Instant AOS-8.10.xx: Ενημέρωση στην έκδοση 8.10.0.14 ή νεότερη
Η HPE έχει επίσης παράσχει λύσεις και για τα έξι ελαττώματα για να βοηθήσει σε περιπτώσεις όπου οι ενημερώσεις λογισμικού δεν μπορούν να εγκατασταθούν αμέσως:
Για τα δύο κρίσιμα ελαττώματα, η προτεινόμενη λύση είναι ο περιορισμός/αποκλεισμός της πρόσβασης στη θύρα UDP 8211 από όλα τα μη αξιόπιστα δίκτυα.
Για τα υπόλοιπα ζητήματα, ο προμηθευτής συνιστά τον περιορισμό της πρόσβασης στο CLI και στις διεπαφές διαχείρισης που βασίζονται στον ιστό τοποθετώντας τες σε ένα αποκλειστικό τμήμα επιπέδου 2 ή VLAN και τον έλεγχο της πρόσβασης με πολιτικές τείχους προστασίας στο επίπεδο 3 και άνω, κάτι που θα περιόριζε το δυναμικό έκθεση.
Δεν έχει παρατηρηθεί ενεργή εκμετάλλευση των ελαττωμάτων, αλλά η εφαρμογή των ενημερώσεων ασφαλείας ή/και μετριασμού αποτελεί μια ισχυρή σύσταση.
VIA: bleepingcomputer.com
