HPE Aruba公司近日發布重要安全更新，修補影響ArubaOS的重大漏洞，這些漏洞可能導致受影響系統遭遇遠端程式碼執行(RCE)的攻擊風險。
本次修補的10個安全漏洞中，有4個被評為嚴重程度：
- CVE-2024-26304 (CVSS分數: 9.8) - 通過PAPI協議存取的L2/L3管理服務中存在未經驗證的緩衝區溢位漏洞
- CVE-2024-26305 (CVSS分數: 9.8) - 通過PAPI協議存取的公用程式守護程式中存在未經驗證的緩衝區溢位漏洞
- CVE-2024-33511 (CVSS分數: 9.8) - 通過PAPI協議存取的自動報告服務中存在未經驗證的緩衝區溢位漏洞
- CVE-2024-33512 (CVSS分數: 9.8) - 通過PAPI協議存取的本地使用者驗證資料庫中存在未經驗證的緩衝區溢位漏洞
駭客可透過發送特製的數據包至流程應用程式介面(PAPI)UDP埠(8211)，利用上述緩衝區溢位漏洞，獲得在底層作業系統的特權使用者身份，執行任意程式碼。
上述四個漏洞影響Mobility Conductor(前身為Mobility Master)、Mobility Controller及由Aruba Central管理的WLAN和SD-WAN閘道。影響版本包含:
- ArubaOS 10.5.1.0及更低版本
- ArubaOS 10.4.1.0及更低版本
- ArubaOS 8.11.2.1及更低版本
- ArubaOS 8.10.0.10及更低版本
它們還影響已達到終止維護的ArubaOS和SD-WAN軟體版本:
- ArubaOS 10.3.x.x
- ArubaOS 8.9.x.x
- ArubaOS 8.8.x.x
- ArubaOS 8.7.x.x
- ArubaOS 8.6.x.x
- ArubaOS 6.5.4.x
- SD-WAN 8.7.0.0-2.3.0.x
- SD-WAN 8.6.0.4-2.2.x.x
研究人員建議使用者套用最新的修補程式，以減輕潛在威脅。也可啟用Enhanced PAPI Security功能，作為緩解措施。
本文轉載自thehackernews。