HPE ArubaOS 8: Unauthentifizierte SQL-Injection ermöglicht Remote Code Execution
Zusammenfassung
Eine Schwachstelle in einer Schnittstelle von HPE ArubaOS 8 (AOS-8) erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, SQL-Anweisungen in eine betroffene AOS-8-Instanz einzuschleusen. Laut HPE kann ein erfolgreicher Angriff dazu führen, dass beliebige Befehle auf dem zugrunde liegenden Betriebssystem ausgeführt werden. Es ist keine Anmeldung erforderlich, weshalb ein exponiertes Management-Interface direkt angreifbar ist.
Betroffen
- AOS-8.13.0.0 bis 8.13.3.0
- AOS-8.10.0.0 bis 8.10.0.23
- Verifizierung ausstehend: Einige Sekundärquellen nennen 8.12.0.0 als betroffen; aktuelle HPE-Advisory prüfen.
Behoben in
- AOS-8.13.3.1 oder neuer
- AOS-8.10.0.24 oder neuer
Umgehung
- Zugriff auf die Management-Schnittstellen von AOS-8 (Web-UI und CLI) auf ein dediziertes Management-VLAN oder Segment beschränken oder mit Firewall-Regeln einschränken.
- Jegliche Exposition der Management-Schnittstellen gegenüber dem Internet oder unvertrauenswürdigen Netzwerken entfernen.
- Accounting für administrative Zugriffe aktivieren (laut Sekundärquellen; mit HPE abgleichen).
Ausnutzung
- Gemäss HPE gibt es keine Hinweise auf eine Ausnutzung in freier Wildbahn.
- Stand 24. Oktober 2026 nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof-of-Concept-Exploit bekannt; der Status sollte erneut geprüft werden.
- CISA SSVC: automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Alle AOS-8 Mobility Conductors, Controller und Instant APs inklusive exakter Versionen inventarisieren.
- Prioritär auf AOS-8.13.3.1 oder AOS-8.10.0.24 (oder neuer) aktualisieren.
- Internetexposition der Management-Schnittstellen entfernen und auf ein Management-VLAN beschränken.
- Administrative Logs seit dem 22. Oktober 2026 auf unerwartete Aktivitäten prüfen.
- Vor jeglicher Kundenkommunikation das aktuelle HPE-Advisory prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- HPE Security Bulletin HPESBNW05162en_us support.hpe.com
- BleepingComputer: HPE patches eight max-severity RCE and auth bypass AOS flaws www.bleepingcomputer.com
- Rescana: HPE Aruba AOS critical vulnerabilities, October 2026 www.rescana.com
- Carthage Electronics: October 24 2026 CVE threat brief carthageelectronics.com
- Cybaverse: HPE Aruba AOS critical flaws www.cybaverse.co.uk
- VulDB entry 425486 vuldb.com
- Strix AI: CVE-2026-79849 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:57.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.