HPE ArubaOS: Unauthentifizierte SQL-Injection in webbasierter Verwaltungsoberfläche
Zusammenfassung
ArubaOS (AOS) Wireless-Controller, Gateways und Instant-Access-Points enthalten eine SQL-Injection-Schwachstelle in der webbasierten Verwaltungsoberfläche. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann diese ohne Anmeldedaten und ohne Benutzerinteraktion ausnutzen. Eine erfolgreiche Ausnutzung kann die Ausführung beliebiger Befehle auf dem zugrunde liegenden Betriebssystem ermöglichen und damit die volle Kontrolle über das Gerät verschaffen.
Betroffen
- AOS-10.8.0.0 bis 10.8.1.1
- AOS-10.7.0.0 bis 10.7.2.6
- AOS-10.4.0.0 bis 10.4.1.13
- AOS-8.13.0.0 bis 8.13.3.0
- AOS-8.10.0.0 bis 8.10.0.23
- AOS-8.12: Unbekannt, Bestätigung durch HPE ausstehend
- Nicht mehr gewartete Versionszweige: vermutlich betroffen, kein Fix vorhanden
Behoben in
- AOS-10.8.1.2
- AOS-10.7.2.7
- AOS-10.4.1.14
- AOS-8.13.3.1
- AOS-8.10.0.24
- Nicht mehr gewartete Versionszweige: kein Fix, Bestätigung durch HPE einholen
Umgehung
- Keine CVE-spezifische Workaround-Massnahme dokumentiert.
- Zugriff auf die webbasierte Verwaltungsoberfläche auf ein dediziertes Management-VLAN beschränken und Firewall-Regeln durchsetzen; als vorübergehende Massnahme, Wirksamkeit für AOS bei HPE prüfen.
Ausnutzung
- HPE kennt keinen öffentlichen Exploit-Code und keine Ausnutzung.
- Laut Drittprüfung nicht im CISA-KEV-Katalog aufgeführt (Stand 24. Oktober 2026).
- Kein öffentlicher Proof of Concept gefunden; dies ist kein Beleg, dass keiner existiert.
- CISA SSVC: automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Alle AOS-8- und AOS-10-Geräte inventarisieren, einschliesslich Instant-APs und Gateways, und die genauen Build-Nummern erfassen.
- Auf die oben genannten Fix-Builds aktualisieren; AOS-8.12 und nicht mehr gewartete Versionszweige bei HPE bestätigen lassen.
- Bis zur Behebung den Zugriff auf die Verwaltungsoberfläche aus dem Internet und aus Gast-Netzwerken blockieren.
- Protokolle der Verwaltungsoberfläche auf unerwartete SQL-bezogene Fehler oder ungewöhnliche Anfragen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- HPE Security Bulletin HPESBNW05162 support.hpe.com
- CyberExperts: Aruba AOS wireless patches cyberexperts.com
- CCB Belgium advisory ccb.belgium.be
- Carthage Electronics threat brief carthageelectronics.com
- Cybaverse: HPE Aruba AOS critical flaws www.cybaverse.co.uk
- Rescana: HPE Aruba AOS critical flaws www.rescana.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:56.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.