HPE ArubaOS 8: Unauthentifizierte SQL-Injection ermöglicht Remote Code Execution

Zusammenfassung

HPE ArubaOS 8 (AOS-8), das Betriebssystem von Aruba-WLAN-Controllern, Gateways und Instant Access Points, enthält eine unauthentifizierte SQL-Injection-Schwachstelle in einer betroffenen Schnittstelle. Ein Angreifer ohne Zugangsdaten kann über das Netzwerk präparierte Anfragen senden und laut HPE beliebige Befehle auf dem zugrunde liegenden Betriebssystem ausführen, wodurch der gesamte vom Gerät verarbeitete WLAN-Datenverkehr kompromittiert werden könnte. Das Risiko ist am höchsten, wenn Management-Schnittstellen aus dem Internet oder aus Gast- oder nicht vertrauenswürdigen Netzen erreichbar sind. HPE hat korrigierte Versionen veröffentlicht.

Betroffen

• AOS-8 8.13.0.0 bis 8.13.3.0
• AOS-8 8.10.0.0 bis 8.10.0.23
• Zweig 8.12: widersprüchliche Angaben zwischen den Quellen, bis zur Überprüfung als betroffen behandeln
• Ältere oder nicht mehr gewartete Versionen: nicht vom Advisory abgedeckt, als betroffen behandeln

Behoben in

• AOS-8 8.13.x: 8.13.3.1 und höher
• AOS-8 8.10.x: 8.10.0.24 und höher
• Versionen über das HPE Networking Support Portal beziehen.

Umgehung

• In den geprüften Quellen ist kein patchunabhängiger Workaround dokumentiert.
• HPE empfiehlt, den Zugriff auf die AOS-Management-Schnittstellen einzuschränken; die genauen Schritte sind dem Advisory zu entnehmen.

Ausnutzung

• HPE sind zum Zeitpunkt des Advisories keine öffentlichen Diskussionen oder Exploit-Code bekannt.
• Es wurden keine Berichte über Ausnutzung in freier Wildbahn gefunden. Eine Sekundärquelle gibt an, dass die CVE nicht im CISA-KEV-Katalog geführt wird; dies ist nicht verifiziert.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.

Unsere Empfehlung

• Alle Controller, Gateways und Instant Access Points nach AOS-8-Version inventarisieren.
• Pro Zweig auf 8.13.3.1 oder 8.10.0.24 (oder höher) aktualisieren; Zweig 8.12 und nicht mehr gewartete Versionen als betroffen behandeln.
• Sicherstellen, dass Management-Schnittstellen nicht aus dem Internet oder aus Gastnetzen erreichbar sind.
• Logs auf unerwartete Datenbank- oder Befehlsaktivitäten prüfen.
• Den gesamten AOS-8-Stand patchen, einschliesslich der verwandten Einträge CVE-2026-79852 und CVE-2026-79858.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE Security Bulletin HPESBNW05162 support.hpe.com
• BleepingComputer: HPE patches AOS flaws www.bleepingcomputer.com
• VulDB: CVE-2026-79848 vuldb.com
• Cyberexperts: Aruba AOS wireless patches cyberexperts.com
• Cybaverse: HPE Aruba AOS critical flaws www.cybaverse.co.uk
• Safeguard: HPE Aruba AOS 8 and AOS 10 CVEs safeguard.sh
• Rescana: HPE Aruba AOS October 2026 www.rescana.com
• WindowsForum: HPE Aruba AOS 8 and AOS 10 security update windowsforum.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:02.