HPE ArubaOS AOS-8: Command Injection ohne Authentifizierung
Zusammenfassung
Command-Injection-Schwachstellen in einer Schnittstelle von HPE ArubaOS AOS-8 (Mobility Conductors, Mobility Controllers und Instant Access Points) erlauben einem nicht authentifizierten Angreifer aus der Ferne, beliebige Befehle auf dem zugrunde liegenden Betriebssystem auszuführen. Der CVSS-Score beträgt 10.0 (kritisch), wobei der Scope verändert ist. Laut HPE hängt die Ausnutzung von Voraussetzungen ab, die ausserhalb der Kontrolle des Angreifers liegen und die HPE nicht im Detail beschreibt.
Betroffen
- AOS-8 8.13.0.0 bis 8.13.3.0 (Herstellerangabe; einzelne Drittquellen nennen 8.12.0.0 als untere Grenze, dies ist zu verifizieren)
- AOS-8 8.10.0.0 bis 8.10.0.23
- Nicht mehr unterstützte Versionszweige sind als betroffen zu behandeln, bis HPE etwas anderes bestätigt
- AOS-10 ist von dieser CVE nicht betroffen
Behoben in
- AOS-8 8.13.3.1 oder neuer
- AOS-8 8.10.0.24 oder neuer
Umgehung
- CLI- und Web-Management-Schnittstellen in ein dediziertes Management-VLAN oder Layer-2-Segment legen oder mit Firewall-Regeln einschränken, wie in den Zwischenmassnahmen von HPE beschrieben
- Accounting für Management-Zugriffe aktivieren
Ausnutzung
- HPE ist zum Zeitpunkt des Advisory-Datums kein öffentlicher Exploit-Code oder keine öffentliche Diskussion bekannt
- CISA SSVC: Exploitation none, automatable yes, total technical impact
- Keine Berichte über Ausnutzung in freier Wildbahn gefunden; Eintrag im CISA-KEV-Katalog nicht bestätigt
Unsere Empfehlung
- Alle AOS-8 Mobility Controllers und Instant APs inventarisieren und die genaue Version prüfen
- CLI- und Web-Management auf ein Management-VLAN oder eine Firewall-Richtlinie beschränken und sicherstellen, dass sie nicht aus dem Internet, aus Benutzer- oder Gastnetzen erreichbar sind
- Auf 8.13.3.1, 8.10.0.24 oder neuer aktualisieren und den betroffenen Bereich vorher im HPE-Advisory verifizieren
- Logs der Management-Schnittstellen auf ungewöhnliche Aktivitäten überwachen und Updates von HPE und CISA verfolgen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- HPE Security Bulletin HPESBNW05162 support.hpe.com
- VulDB entry 425462 vuldb.com
- CyberExperts: AOS wireless patches cyberexperts.com
- Carthage Electronics: October 2026 CVE threat brief carthageelectronics.com
- Rescana: HPE Aruba AOS CVE analysis www.rescana.com
- Strix: CVE-2026-79846 www.strix.ai
- SecurityOnline: HPE Networking AOS vulnerabilities securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:01.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.