Vulnérabilités critiques dans des produits Aruba

Date de publication :

Un dépassement d’entier est une erreur produite lorsque le résultat d’une opération mathématique est supérieur au plus grand nombre entier représentable dans le système qui l’héberge.

CVE-2022-25315[Score CVSS v3.1 : 9.8] (critique)

Une erreur de type « dépassement d’entier » dans la fonction storeRawNames permet à un attaquant distant, grâce à l’utilisation de requêtes XML forgées, d’exécuter du code arbitraire et de provoquer un déni de service.

CVE-2022-25236[Score CVSS v3.1 : 9.8] (critique)

Une protection insuffisante du parseur XML contre l'insertion de caractères de séparation d'espace de noms dans les URI permet à un attaquant distant, grâce à l’utilisation de requêtes XML forgées, d’exécuter du code arbitraire et de provoquer un déni de service.

CVE-2022-25235[Score CVSS v3.1 : 9.8] (critique)

Une erreur de validation des entrées dans la fonction xmltok_impl.c permet à un attaquant distant, grâce à l’utilisation de requêtes XML forgées, d’exécuter du code arbitraire et de provoquer un déni de service.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Déni de service

    Exécution de code arbitraire

Criticité

    Score CVSS v3.1: 9.8 max  

La faille est activement exploitée

    Non, pour l’ensemble des CVE présentées.

Un correctif existe

    Oui, pour l’ensemble des CVE présentées.

Une mesure de contournement existe

    Oui, pour l’ensemble des CVE présentées.

La vulnérabilité exploitée est du type

CWE-190: Integer Overflow or Wraparound

CWE-668: Exposure of Resource to Wrong Sphere

CWE-116: Improper Encoding or Escaping of Output

Détails sur l’exploitation

Pour l’ensemble des CVE présentées :

    Vecteur d’attaque : Réseau.

    Complexité de l’attaque : Faible.

    Privilèges nécessaires pour réaliser l’attaque : Aucun.

    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.

    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Composants vulnérables

    AirWave Management Platform aux versions antérieures à 8.2.14.1

    Aruba Fabric Composer (AFC) aux versions antérieures à 6.2.1

    Plexxi Composable Fabric Manager (CFM) aux versions antérieures à 6.2.1

    Aruba EdgeConnect Entreprise (ECOS) aux versions 9.1.x antérieures à 9.1.1.4

    Aruba EdgeConnect Entreprise (ECOS) aux versions 9.0.x antérieures à 9.0.7.0

    Aruba EdgeConnect Entreprise (ECOS) aux versions 8.3.x antérieures à 8.3.7.0

    Aruba EdgeConnect Entreprise Orchestrator on-premises

Solutions ou recommandations

  • Mettre à jour AirWave Management Platform aux versions 8.2.14.1 et suivantes.  

  • Mettre à jour Aruba Fabric Composer (AFC) et Plexxi Composable Fabric Manager (CFM) aux versions 6.2.1 et suivantes.  

  • Mettre à jour Aruba EdgeConnect Entreprise aux versions suivantes :

    • ECOS 9.1.1.4 et suivantes

    • ECOS 9.0.7.0 et suivantes

    • ECOS 8.3.7.0 et suivantes

  • Concernant Aruba EdgeConnect Entreprise Orchestrator, plusieurs solutions de corrections sont proposées ici.

  • Une solution de contournement existe pour l’ensemble des vulnérabilités. Il est recommandé que les interfaces de gestion CLI et Web soient limitées à un segment de couche 2 dédié.

Liens