HPE Aruba : 3 failles critiques découvertes dans les points d’accès Wi-Fi
Les points d'accès Wi-Fi de chez HPE Aruba sont impactés par trois failles de sécurité critiques situées dans le service CLI ! Quels sont les risques ? Faisons le point.
La marque Aruba Networking, appartenant à HPE, a publié un nouveau bulletin de sécurité pour évoquer plusieurs vulnérabilités présentes dans les produits "Arua Access Points" avec les systèmes Instant AOS-8 et AOS-10.
Ces trois failles de sécurité, associées aux références CVE-2024-42505, CVE-2024-42506, et CVE-2024-42507, sont particulièrement dangereuses. Un paquet spécial, envoyé à destination du port 8211 en UDP grâce au protocole PAPI, peut permettre à un attaquant d'exécuter du code à distance sur le point d'accès, sans être authentifié.
À ce sujet, le bulletin de sécurité précise : "L'exploitation réussie de ces vulnérabilités permet d'exécuter un code arbitraire en tant qu'utilisateur privilégié sur le système d'exploitation sous-jacent.". Il s'agit de vulnérabilités critiques associées à un score CVSS de 9.8 sur 10.
Comment se protéger ?
Les points d'accès Aruba de plusieurs séries sont affectés : Aruba 100 Series, Aruba 120 Series, Aruba 200 Series, Aruba 300 Series, etc... Mais cela dépend surtout de la version de l'OS. Donc, commençons par lister les versions d'OS vulnérables :
- AOS-10.6.x.x : 10.6.0.2 et inférieur
- AOS-10.4.x.x : 10.4.1.3 et inférieur
- Instant AOS-8.12.x.x : 8.12.0.1 et inférieur
- Instant AOS-8.10.x.x : 8.10.0.13 et inférieur
Vous devez donc passer sur une version où le correctif est intégré : 10.7.0.0, 10.6.0.3, 10.4.1.4, 8.12.0.2, 8.10.0.14 ou supérieur. Les versions non prises en charge ne bénéficieront pas d'un correctif (AOS-10.5.x.x, AOS-10.3.x.x, Instant AOS-8.11.x.x, etc.). Consultez la liste complète sur le site de HPE.
L'entreprise américaine a également précisée que d'autres produits Aruba, y compris les Networking Mobility Conductors, les Mobility Controllers et les SD-WAN Gateways, ne sont pas concernés par ces failles.
Enfin, ces vulnérabilités ne seraient pas encore exploitées par les attaquants. Aruba précise : "HPE Aruba Networking n'a pas connaissance d'une discussion publique ou d'un code d'exploitation ciblant ces vulnérabilités spécifiques à la date de publication de l'avis."
