HPE Aruba ออกอัปเดตอุดช่องโหว่ใน ArubaOS

HPE Aruba Networking ออกคำแนะนำด้านความปลอดภัย เกี่ยวกับช่องโหว่ที่สำคัญจำนวนมากถึง 10 รายการ โดยส่วนหนึ่งเป็นข้อบกพร่องในการเรียกใช้โค้ดจากระยะไกล (RCE) ซึ่งส่งผลกระทบต่อซอฟท์แวร์และระบบปฏิบัติการ ArubaOS หลายเวอร์ชัน ประกอบด้วย

• HPE Aruba Networking Mobility Conductor, Mobility Controllers, WLAN Gateways และ SD-WAN Gateways ที่จัดการโดย Aruba Central.
• ArubaOS ตั้งแต่เวอร์ชัน 10.5.1.0 ลงมา เวอร์ชัน 10.4.1.0 และเก่ากว่า เวอร์ชัน 8.11.2.1 และเก่ากว่า รวมถึง เวอร์ชัน 8.10.0.10 ลงมา
• ArubaOS ทุกเวอร์ชัน และ SD-WAN ที่สิ้นสุดอายุการใช้งานไปแล้ว ซึ่งรวมถึง ArubaOS 10.3, 8.9, 8.8, 8.7, 8.6, 6.5.4 และ SD-WAN 2.3.0 ถึง 8.7.0.0 และ 2.2 ถึง 8.6.0.4

ข้อบกพร่องในการเรียกใช้โค้ดจากระยะไกลที่สำคัญ 4 ข้อคือ:

CVE-2024-26305 – ข้อบกพร่องใน Utility ของ ArubaOS ที่ทำให้ผู้โจมตีที่ไม่ได้รับการรับรองความถูกต้องสามารถรันโค้ดจากระยะไกลได้โดยการส่งแพ็กเก็ตที่สร้างขึ้นเป็นพิเศษไปยังพอร์ต PAPI UDP (8211)

CVE-2024-26304 – มีข้อบกพร่องใน L2/L3 Management service ซึ่งอนุญาตให้มีการเรียกใช้โค้ดจากระยะไกลโดยไม่ได้รับอนุญาตผ่านแพ็กเก็ตที่สร้างขึ้นไปยังพอร์ต PAPI UDP

CVE-2024-33511 – ช่องโหว่ใน Automatic Reporting service ที่สามารถนำมาใช้ประโยชน์ได้โดยการส่งแพ็กเก็ตที่จัดทำขึ้นเป็นพิเศษไปยังพอร์ตโปรโตคอล PAPI เพื่อให้ผู้โจมตีที่ไม่ได้รับการรับรองความถูกต้องสามารถรันโค้ดจากระยะไกลได้โดยอำเภอใจ

CVE-2024-33512 – ข้อบกพร่องที่อนุญาตให้ผู้โจมตีระยะไกลที่ไม่ได้รับการรับรองความถูกต้องสามารถรันโค้ดโดยใช้ประโยชน์จาก buffer overflow ใน Local User Authentication Database service ที่เข้าถึงผ่านโปรโตคอล PAPI

เพื่อป้องกันความเสียหายที่อาจตามมาจะข้อบกพร่องกังด่ลาว แนะนำให้เปิดใช้งาน Enhanced PAPI Security และอัปเกรด ArubaOS เป็นเวอร์ชันแก้ไขแล้วทันที

ทั้งนี้การอัปเกรดไปเป็นเวอร์ชันล่าสุด ยังแก้ช่องโหว่อีก 6 รายการ ซึ่งมีระดับความรุ่นแรงปานกลาง CVSS v3.1: 5.3 – 5.9 ซึ่งอาจทำให้ผู้โจมตีที่ไม่ได้รับการรับรองความถูกต้องสามารถสร้างการปฏิเสธการให้บริการบนอุปกรณ์ที่มีช่องโหว่ และทำให้เกิดการหยุดชะงักในการปฏิบัติงานได้ด้วย

ที่มา : bleepingcomputer