HPE ArubaOS AOS-10: Nicht authentifizierter Pufferüberlauf führt zu Remote Code Execution

Zusammenfassung

Ein Pufferüberlauf in einer Schnittstelle von AOS-10 in HPE ArubaOS erlaubt einem nicht authentifizierten Angreifer aus der Ferne, beliebigen Code auszuführen. Bei erfolgreicher Ausnutzung würde der Angreifer Code als privilegierter Benutzer auf dem zugrunde liegenden Betriebssystem ausführen und damit das Gerät vollständig kompromittieren. Die betroffene Schnittstelle ist in den geprüften Quellen nicht bestätigt, und es ist weder eine Anmeldung noch eine Benutzerinteraktion nötig. Der CVSS-Wert beträgt 10.0 (kritisch), und die Warnung betrifft Mobility Conductors, Mobility Controllers, Mobility Gateways und AOS-10-Access-Points.

Betroffen

• AOS-10.8: 10.8.0.0 bis 10.8.1.1
• AOS-10.7: 10.7.0.0 bis 10.7.2.6
• AOS-10.4: 10.4.0.0 bis 10.4.1.13
• Status der Zweige 10.6 und 10.3: widersprüchliche Quellen, im HPE-Advisory prüfen
• Status früherer Zweige: Unbekannt.

Behoben in

• AOS-10.8.1.2
• AOS-10.7.2.7
• AOS-10.4.1.14
• Spätere Versionen in jedem Zweig enthalten die Korrektur ebenfalls.

Umgehung

• HPE empfiehlt, den Zugriff auf die CLI- und webbasierten Verwaltungsschnittstellen auf dedizierte Layer-2-Segmente oder VLANs zu beschränken und den Zugriff mit Firewall-Richtlinien auf Layer 3 zu steuern.
• Diese Massnahmen reduzieren nur die Exposition. Keine Massnahme behebt die Schwachstelle vollständig.

Ausnutzung

• HPE kennt zum Zeitpunkt des Advisory weder eine Ausnutzung in freier Wildbahn noch öffentlichen Exploit-Code.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog gelistet.
• Die Angaben sind eine Momentaufnahme.

Unsere Empfehlung

• AOS-10-Geräte auf die korrigierten Versionen über das HPE Networking Support Portal aktualisieren, zuerst Gateways und Controller.
• Verwaltungsschnittstellen und UDP-Port 8211 (PAPI) auf ein Administrationssegment beschränken und jede Internetexposition entfernen (NAT, Portweiterleitungen, VPN-Portale).
• Prüfen, ob AOS-8-Geräte im Einsatz sind, und diese auf 8.13.3.1 oder 8.10.0.24 aktualisieren.
• Wireless Controller und Gateways auf ungewöhnliches Verhalten überwachen und die Netzwerksegmentierung prüfen, um seitliche Bewegungen zu begrenzen.
• Den Patch-Prozess mit dem Managed-Service-Provider abklären, falls die Geräte über Central verwaltet werden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE Security Bulletin HPESBNW05162 support.hpe.com
• VulDB CVE-2026-79851 vuldb.com
• SecurityWeek: HPE patches dozens of critical flaws www.securityweek.com
• BleepingComputer: HPE patches eight max-severity RCE and auth bypass flaws www.bleepingcomputer.com
• Rescana: HPE Aruba AOS bulletin analysis www.rescana.com
• CCB Belgium advisory ccb.belgium.be

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:58.