Vulnérabilité critique dans des produits Aruba

Date de publication :

CVE-2022-37897[Score CVSS v3.1:9.8]

Une faille d’injection de commande dans des produits Aruba permet à un attaquant distant, en envoyant des requêtes spécialement forgées à l’interface de protocole d’accès, d’exécuter du code arbitraire avec des privilèges élevés.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Exécution de code arbitraire sur le système

    Élévation de privilèges

Criticité

    Score CVSS v3.1: 9.8

La faille est activement exploitée

    Non.

Un correctif existe

    Oui.

Une mesure de contournement existe

    Oui.

La vulnérabilité exploitée est du type

CWE-94: Improper Control of Generation of Code ('Code Injection')

Détails sur l’exploitation

    Vecteur d’attaque : Réseau.

    Complexité de l’attaque : Faible.

    Privilèges nécessaires pour réaliser l’attaque : Aucun.

    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.

    L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.

Composants vulnérables

    ArubaOS en versions 6.5.4.22 et inférieures.

    ArubaOS en versions 8.6.0.17 et inférieures.

    ArubaOS en versions 8.7.1.9 et inférieures.

     ArubaOS en version 10.3.0.0.

    SD-WAN en versions 8.7.0.0-2.3.0.6 et inférieures.

    ArubaOS en version 8.4.

    ArubaOS en version 8.5.

    ArubaOS en version 8.8.

    ArubaOS en version 8.9.

    SD-WAN en version 8.5.0.0-2.1.

    SD-WAN en version 8.6.0.4-2.2.

Solutions ou recommandations

  • Mettre à jour les produits Aruba concernés vers les versions suivantes :

    • ArubaOS 6.5.4.x aux versions 6.5.4.23 et suivantes.

    • ArubaOS 8.6.x aux versions 8.6.0.18 et suivantes.

    • ArubaOS 8.7.x aux versions 8.7.1.10 et suivantes.

    • ArubaOS 8.10.x aux versions 8.10.0.0 et suivantes.

    • ArubaOS 10.3.x aux versions 10.3.0.1 et suivantes.

    • SD-WAN-2.3.0.x aux versions 8.7.0.0-2.3.0.7 et suivantes.

  • Les produits suivants ne disposeront d’aucune mesure corrective :

    • ArubaOS en version 8.4.

    • ArubaOS en version 8.5.

    • ArubaOS en version 8.8.

    • ArubaOS en version 8.9.

    • SD-WAN en version 8.5.0.0-2.1.

    • SD-WAN en version 8.6.0.4-2.2.

  • Une mesure de contournement existe : activation de la fonction de sécurité PAPI.

  • Plus d’informations disponibles ici.

Liens