HPE ArubaOS 10: Unauthentifizierte Informationsoffenlegung führt zu Remote Code Execution
Zusammenfassung
In der Schnittstelle von HPE ArubaOS 10 (AOS-10) besteht eine kritische Schwachstelle, mit der ein nicht authentifizierter Angreifer über das Netzwerk sensitive Informationen vom Gerät abrufen kann. Laut HPE kann eine erfolgreiche Ausnutzung die Ausführung beliebiger Befehle im zugrunde liegenden Betriebssystem ermöglichen. Der CVSS-Wert beträgt 9.8, und es sind keine Berechtigungen oder Benutzerinteraktionen erforderlich; betroffene, über das Netzwerk erreichbare AOS-10-Gateways, Controller und Access Points sind daher gefährdet.
Betroffen
- AOS-10 10.8.0.0 bis 10.8.1.1
- AOS-10 10.7.0.0 bis 10.7.2.6
- AOS-10 10.4.0.0 bis 10.4.1.13
- Drittanbieter-Seiten nennen zusätzlich 10.3.x und 10.6.x; nicht verifiziert, im HPE-Bulletin prüfen.
Behoben in
- AOS-10.8.x: 10.8.1.2 oder neuer
- AOS-10.7.x: 10.7.2.7 oder neuer
- AOS-10.4.x: 10.4.1.14 oder neuer
- Korrigierte Versionen für 10.3.x und 10.6.x: Unbekannt, Versionstabelle im HPE-Bulletin prüfen.
Umgehung
Unbekannt.
Ausnutzung
- HPE ist zum Zeitpunkt des Advisory keine öffentliche Diskussion oder Exploit-Code bekannt, der auf die aufgeführten Schwachstellen abzielt.
- Drittanbieter-Tracker melden per 24. Oktober 2026 keine bekannte Ausnutzung und keinen Eintrag im CISA-KEV-Katalog; den KEV-Katalog erneut prüfen.
- Ein öffentlicher Proof of Concept ist nicht bekannt.
Unsere Empfehlung
- Alle AOS-10-Gateways, Controller und Access Points inklusive Central-verwalteter Geräte inventarisieren und deren Versionen erfassen.
- Betroffene Geräte auf die korrigierte Version aktualisieren, nachdem die Versionstabelle im HPE-Bulletin geprüft wurde.
- Die Erreichbarkeit von Management- und betroffenen Schnittstellen aus dem Netzwerk bis zum Patch einschränken; die betroffene Schnittstelle im HPE-Advisory verifizieren.
- HPE-Advisory, NVD und den CISA-KEV-Katalog auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- HPE Security Bulletin HPESBNW05162 support.hpe.com
- Belgian CCB advisory on HPE Networking AOS ccb.belgium.be
- Cybaverse: HPE Aruba AOS critical flaws www.cybaverse.co.uk
- VulDB: CVE-2026-79853 vuldb.com
- Rescana: HPE Aruba AOS October 2026 advisory www.rescana.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:57.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.