HPE ArubaOS 10: Unauthentifizierte Remote Code Execution über Buffer Overflow

Zusammenfassung

Buffer-Overflow-Schwachstellen in einer Schnittstelle von ArubaOS 10 (AOS-10), dem drahtlosen Betriebssystem für Controller, Gateways und Access Points, erlauben einem nicht authentifizierten Angreifer aus der Ferne, durch speziell präparierte Pakete beliebigen Code auszuführen. Bei erfolgreicher Ausnutzung wird Code als privilegierter Benutzer auf dem zugrunde liegenden Betriebssystem ausgeführt, was das interne Netzwerk gefährden kann. Die betroffene Schnittstelle wird in den geprüften Quellen nicht genannt, der CVSS-Score beträgt 10.0 (kritisch).

Betroffen

• AOS-10 10.8.0.0 bis 10.8.1.1
• AOS-10 10.7.0.0 bis 10.7.2.6
• AOS-10 10.4.0.0 bis 10.4.1.13
• Ältere Versionszweige (10.3.x, 10.6.x): Unbekannt. Gegen das HPE-Bulletin prüfen.

Behoben in

• AOS-10 10.8.1.2 oder neuer (10.8.x)
• AOS-10 10.7.2.7 oder neuer (10.7.x)
• AOS-10 10.4.1.14 oder neuer (10.4.x)
• Quelle: HPE-Bulletin HPESBNW05162 (Sekundärberichte; gegen das Herstellerbulletin prüfen)

Umgehung

• Für diese spezifische CVE ist kein Workaround dokumentiert.
• HPE stellt Schutzmassnahmen bereit, darunter die Einschränkung des Zugriffs auf AOS-Management-Schnittstellen. Ob dies die betroffene Schnittstelle blockiert, ist Unbekannt.

Ausnutzung

• HPE ist zum Zeitpunkt des Advisorys keine öffentliche Diskussion oder kein Exploit-Code bekannt, der auf die aufgeführten Schwachstellen abzielt.
• Laut Berichten gibt es bis 24. Oktober 2026 keinen öffentlichen PoC und keine Hinweise auf Ausnutzung in freier Wildbahn.
• Bis 24. Oktober 2026 nicht im CISA-KEV-Katalog aufgeführt. Aktueller Status nicht unabhängig geprüft.

Unsere Empfehlung

• Alle AOS-10-Geräte und deren genaue Versionen inventarisieren (show version oder HPE Networking Central).
• Je nach Versionszweig auf 10.8.1.2, 10.7.2.7 oder 10.4.1.14 aktualisieren, nach Abgleich mit dem HPE-Bulletin.
• Bis zur Aktualisierung den Management-Zugriff einschränken und eingehenden Verkehr aus nicht vertrauenswürdigen Netzen filtern, auch aus Gäste-WLAN-Segmenten.
• Controller- und Gateway-Dienste auf ungewöhnlichen Verkehr und Anzeichen einer Kompromittierung überwachen.
• CISA KEV und das HPE-Bulletin erneut prüfen, da das Bulletin am 25. Oktober 2026 überarbeitet wurde.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE Security Bulletin HPESBNW05162 support.hpe.com
• BleepingComputer: HPE patches eight max-severity RCE and auth bypass AOS flaws www.bleepingcomputer.com
• Rescana: HPE Aruba AOS CVE-2026-79844 critical October 2026 www.rescana.com
• Safeguard: HPE Aruba AOS-8 and AOS-10 CVE-2026-79844 to 72 vulnerabilities safeguard.sh
• Cybaverse: HPE Aruba AOS critical flaws www.cybaverse.co.uk
• VulDB: CVE-2026-79847 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:01.