HPE ArubaOS AOS-10: Authentifizierungsumgehung führt zu Remote Code Execution
Zusammenfassung
HPE ArubaOS AOS-10, das Betriebssystem für Aruba Mobility Conductors, Controller, Gateways und Access Points, enthält eine Authentifizierungsumgehung in einer betroffenen Schnittstelle. Ein nicht authentifizierter Angreifer aus dem Netzwerk könnte beliebige Befehle auf dem zugrunde liegenden Host ausführen, jedoch nur, wenn Voraussetzungen erfüllt sind, die ausserhalb der Kontrolle des Angreifers liegen. Der CVSS-3.1-Score beträgt 10.0 (kritisch), und HPE ist kein öffentlicher Exploit-Code und keine aktive Ausnutzung bekannt.
Betroffen
- ArubaOS 10.8.0.0 bis 10.8.1.1
- ArubaOS 10.7.0.0 bis 10.7.2.6
- ArubaOS 10.4.0.0 bis 10.4.1.13
- Gemäss CVE-Eintrag gelten nicht aufgeführte Versionen standardmässig als betroffen.
- Die genauen Bereiche vor der Bewertung in der HPE-Meldung HPESBNW05162 prüfen, da Drittquellen abweichen.
Behoben in
- ArubaOS 10.8.1.2
- ArubaOS 10.7.2.7
- ArubaOS 10.4.1.14
- Korrekturen für AOS-8 (8.13.3.1, 8.10.0.24) werden von Drittquellen genannt; in der HPE-Meldung bestätigen.
Umgehung
- Vom Hersteller bestätigter Workaround: keiner.
- Nicht verifiziert: Der Zugriff auf die Management-Schnittstelle wird häufig als Übergangsmassnahme empfohlen.
Ausnutzung
- HPE ist zum Zeitpunkt der Meldung kein öffentlicher Exploit-Code und keine öffentliche Diskussion bekannt.
- Zum Zeitpunkt der Prüfung nicht im Known-Exploited-Vulnerabilities-Katalog der CISA aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- Bis zum 30. Oktober 2026 ist kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn bekannt. Dies kann sich rasch ändern.
Unsere Empfehlung
- Alle AOS-10- und AOS-8-Geräte inventarisieren, einschliesslich Gateways und Access Points, und deren genaue Versionen erfassen.
- Sicherstellen, dass keine Management-Schnittstelle aus dem Internet erreichbar ist.
- Betroffene Geräte innerhalb des kritischen Patch-Fensters auf die Korrekturversion des jeweiligen Zweigs aktualisieren.
- Bis zur Aktualisierung den Management-Zugriff auf interne Administrationsnetze oder ein VPN beschränken.
- Logs auf unerwartete administrative Anmeldungen oder Konfigurationsänderungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- HPE Security Bulletin HPESBNW05162 support.hpe.com
- Brandefense CVE-2026-79844 overview brandefense.io
- CVEfeed CVE-2026-79844 details cvefeed.io
- Rescana CVE-2026-79844 analysis www.rescana.com
- VulDB entry 425485 vuldb.com
- Strix CVE-2026-79844 www.strix.ai
- Carthage Electronics CVE threat brief carthageelectronics.com
- Aviatrix threat research on HPE AOS flaws aviatrix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:00.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.