HPE Aruba - CVE-2024-42505

Date de publication :

Une vulnérabilité de type injection de commande dans ArubaOS de HPE permet à un attaquant, en envoyant des paquets PAPI spécifiquement forgés vers le port 8211, d’exécuter du code arbitraire avec des privilèges élevés. 

Informations

La faille est activement exploitée : Non

Un correctif existe : Oui

Une mesure de contournement existe : Oui

Risques

Exécution de code arbitraire

Exploitation

La vulnérabilité exploitée est du type
CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection')

Détails sur l'exploitation
•    Vecteur d'attaque : Réseau
•    Complexité de l'attaque : Faible
•    Privilèges nécessaires pour réaliser l'attaque : Aucun
•    Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
•    L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui

Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.

Systèmes ou composants affectés

HPE Aruba Networking utilisant Instant ArubaOS versions 8 et 10

ArubaOS

•    Versions 10.3.x

•    Versions 10.4.x antérieures à 10.4.1.4

•    Versions 10.5.x

•    Versions 10.6.x antérieures à 10.6.0.3 

Instant ArubaOS

•    Versions 6.4.x

•    Versions 6.5.x

•    Versions 8.4.x

•    Versions 8.5.x

•    Versions 8.6.x

•    Versions 8.7.x

•    Versions 8.8.x

•    Versions 8.9.x

•    Versions 8.10.x antérieures à 8.10.0.14

•    Versions 8.11.x

•    Versions 8.12.x antérieures à 8.12.0.2

Contournement provisoire

Lorsque les mises à jour ne peuvent pas être appliquées, l’éditeur recommande d’activer la fonctionnalité cluster-security pour les équipements exécutant ArubaOS versions 8.x. Pour les équipements exécutant ArubaOS versions 10.x, HPE recommande de bloquer le port UDP/8211 pour tous les réseaux non fiables.

Solutions ou recommandations

Mettre à jour ArubaOS vers la version 10.4.1.4, 10.6.0.3, 10.7.0.0 ou ultérieure.
Mettre à jour Instant ArubaOS vers la version 8.10.0.14, 8.12.0.2 ou ultérieure.
Des informations complémentaires sont disponibles dans le bulletin de HPE.