HPE ClearPass Policy Manager: Command Injection in API mit Authentifizierung

Zusammenfassung

Eine Command-Injection-Schwachstelle in der API von HPE ClearPass Policy Manager neutralisiert Sonderzeichen in benutzergelieferten Daten nicht korrekt, bevor sie an Betriebssystembefehle übergeben werden. Ein Angreifer mit gültigen Zugangsdaten mit niedrigen Rechten kann sie remote ausnutzen, um Privilegien zu erweitern und administrative Kontrolle über den NAC-Server zu erlangen, der Authentifizierungs- und Richtliniendaten des Netzwerks verwaltet. Die Schwachstelle ist mit CVSS 8.8 bewertet und Teil eines Bulletins, das auch schwerwiegendere, nicht authentifizierte Schwachstellen enthält.

Betroffen

• ClearPass Policy Manager 6.14.0 und früher im 6.14-Zweig
• ClearPass Policy Manager 6.11.15 und früher im 6.11-Zweig
• Versionen anderer Zweige sind im End-of-Maintenance und werden von HPE nicht gepatcht.

Behoben in

• Version 6.14.1 für den 6.14-Zweig
• Version 6.11.16 für den 6.11-Zweig
• Zuordnung der Fixes muss gegen das HPE-Bulletin HPESBNW05158 bestätigt werden, da das vollständige Advisory nicht überprüft werden konnte.

Umgehung

• Zugriff auf die CLI- und Web-Verwaltungsoberflächen sowie die API auf ein dediziertes Management-VLAN oder vertrauenswürdige Admin-Netze mittels Firewall-Regeln beschränken.
• Verwaltungs- und API-Oberflächen nicht dem Internet oder Gast- und Benutzernetzen aussetzen.
• Accounting und Protokollierung von Benutzeraktivitäten aktivieren.
• Für die Schwachstelle in der API selbst gibt es keinen spezifischen Workaround des Herstellers.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• Nicht im CISA-KEV-Katalog gelistet; CISA SSVC: Exploitation none, nicht automatisierbar.
• EPSS unter 1%.
• Kein öffentlicher Proof-of-Concept gefunden; dies schliesst dessen Existenz nicht aus.

Unsere Empfehlung

• Alle ClearPass Policy Manager-Instanzen und deren Versionen inventarisieren.
• Betroffene Zweige auf 6.14.1 oder 6.11.16 patchen und das gesamte HPE-Bulletin HPESBNW05158 gemeinsam anwenden, da es schwerwiegendere, nicht authentifizierte Schwachstellen enthält.
• Vor dem Rollout API-Automatisierungen testen: Die neuen Versionen haben die REST-API-Token-Validierung geändert, und einige Clients mit Password-Grant könnten bis zur Neukonfiguration fehlschlagen.
• Bis zum Patch den Zugriff auf Verwaltungs- und API-Oberflächen auf vertrauenswürdige Admin-Netze beschränken und Internetexposition prüfen.
• Administrative Aktivitäten und API-Zugriffe auf ungewöhnliche Befehle überwachen.
• Priorität hoch für betroffene Versionen mit exponierten Verwaltungsoberflächen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE advisory HPESBNW05158 support.hpe.com
• OpenCVE record (EPSS, KEV, CISA ADP) app.opencve.io
• VulDB entry vuldb.com
• Tenable plugin 364195 www.tenable.com
• ClearPass 6.11.16 known issues arubanetworking.hpe.com
• SecurityOnline roundup securityonline.info
• HPE upgrade paths support.hpe.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:37.