HPE ha publicado vulnerabilidades de severidad crítica que afectan a dispositivos Access Point de HPE Aruba, las mismas son de tipo desbordamiento de búfer e inyección de comandos.
Productos afectados:
- ArubaOS 10.5.x.x: versiones 10.5.1.0 y anteriores.
- ArubaOS 10.4.x.x: versiones 10.4.1.0 y anteriores.
- InstantOS 8.11.x.x: versiones 8.11.2.1 y anteriores.
- InstantOS 8.10.x.x: versiones 8.10.0.10 y anteriores.
- InstantOS 8.6.x.x: versiones 8.6.0.23 y anteriores.
Impacto de las vulnerabilidades:
CVE-2024-31466 y CVE-2024-31467 (CVSSv3 9.8): vulnerabilidad de desbordamiento de búfer en el servicio de línea de comandos (CLI) subyacente que podrían dar lugar a la ejecución remota de código no autenticado al enviar paquetes modificados al puerto UDP (8211) de PAPI(protocolo de gestión de puntos de acceso de Aruba).
CVE-2024-31468 y CVE-2024-31469 (CVSSv3 9.8):vulnerabilidad de desbordamiento de búfer en el servicio de Comunicaciones Central subyacente que podrían llevar a la ejecución remota de código no autenticado al enviar paquetes modificados destinados al puerto UDP (8211) de PAPI (protocolo de gestión de puntos de acceso de Aruba).
CVE-2024-31470 (CVSSv3 9.8 ): vulnerabilidad de desbordamiento de búfer en el servicio SAE (Autenticación Simultánea de Iguales) subyacente que podría llevar a la ejecución remota de código no autenticada mediante el envío de paquetes modificados dirigidos al puerto UDP (8211) de PAPI (protocolo de administración de puntos de acceso de Aruba).
CVE-2024-31471 (CVSSv3 9.8):una vulnerabilidad de inyección de comandos en el servicio de Comunicaciones Centrales subyacente que podría conducir a la ejecución de código remoto no autenticado enviando paquetes modificados dirigidos al puerto UDP (8211) de PAPI (protocolo de gestión de puntos de acceso de Aruba).
CVE-2024-31472 (CVSSv3 9.8): vulnerabilidad de inyección de comandos en el servicio demonio Soft AP subyacente que podrían conducir a la ejecución remota de código no autenticada al enviar paquetes modificados destinados al puerto UDP (8211) de PAPI (protocolo de gestión de puntos de acceso de Aruba).
CVE-2024-31473 (CVSSv3 9.8): vulnerabilidad de inyección de comandos en el servicio de desautenticación subyacente que podría conducir a la ejecución remota de código sin autenticación al enviar paquetes modificados destinados al puerto UDP (8211) de PAPI (el protocolo de gestión de puntos de acceso de Aruba).
Recomendación:
Se recomienda actualizar los dispositivos a la última versión de software desde la página oficial del fabricante.
Referencia:
- https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw04647en_us&docLocale=en_US
- https://www.incibe.es/incibe-cert/alerta-temprana/avisos/multiples-vulnerabilidades-en-access-points-de-hpe-aruba
- https://nvd.nist.gov/vuln/detail/CVE-2024-31466
- https://nvd.nist.gov/vuln/detail/CVE-2024-31467
- https://nvd.nist.gov/vuln/detail/CVE-2024-31468
- https://nvd.nist.gov/vuln/detail/CVE-2024-31469
- https://nvd.nist.gov/vuln/detail/CVE-2024-31470
- https://nvd.nist.gov/vuln/detail/CVE-2024-31471
- https://nvd.nist.gov/vuln/detail/CVE-2024-31472
- https://nvd.nist.gov/vuln/detail/CVE-2024-31473