HPE AOS-10: Unauthentifizierte SQL-Injection führt zu Remote Code Execution

Zusammenfassung

HPE ArubaOS 10 (AOS-10), das Betriebssystem von Mobility Conductors, Mobility Controllers, Mobility Gateways und AOS-10 Access Points, enthält in einer betroffenen Schnittstelle eine unauthentifizierte SQL-Injection-Schwachstelle. Ein Angreifer aus dem Netzwerk ohne Zugangsdaten und ohne Benutzerinteraktion kann SQL-Befehle einschleusen und laut HPE beliebige Befehle auf dem darunterliegenden Betriebssystem ausführen. Der CVSS-Wert beträgt 9.8 (kritisch). Die Schwachstelle betrifft die Management-Schnittstelle, daher besteht das Hauptrisiko bei Erreichbarkeit aus Benutzer-, Gast- oder Internet-Netzwerken.

Betroffen

• AOS-10.8.x bis 10.8.1.1
• AOS-10.7.x bis 10.7.2.6
• AOS-10.4.x bis 10.4.1.13
• Andere Versionszweige (zum Beispiel 10.5, 10.6, 10.3): Unbekannt. Das HPE-Advisory prüfen.

Behoben in

• AOS-10.8.x: 10.8.1.2 und neuer
• AOS-10.7.x: 10.7.2.7 und neuer
• AOS-10.4.x: 10.4.1.14 und neuer

Umgehung

Für Versionen ohne Fix empfiehlt HPE, den Zugriff auf die CLI- und Web-Management-Schnittstellen einzuschränken:

• Management-Schnittstellen in einem dedizierten Layer-2-Segment oder VLAN platzieren
• Firewall-Richtlinien auf Layer 3 und höher anwenden
• Accounting aktivieren, um Benutzeraktivitäten zu protokollieren

Ausnutzung

• HPE gibt an, dass ihr keine Ausnutzung dieser Schwachstellen bekannt ist.
• HPE gibt an, dass ihr kein öffentlicher Exploit-Code bekannt ist. Es wurde kein öffentlicher PoC von Sicherheitsforschern gefunden.
• Nicht im CISA-KEV-Katalog am 24. Oktober 2026. Erneut prüfen, da sich dies schnell ändern kann.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.

Unsere Empfehlung

• Dringend behandeln. Alle AOS-10-Geräte und deren Versionen inventarisieren.
• Auf eine korrigierte Version aktualisieren. Ein Wartungsfenster einplanen, da Access Points während Updates neu starten.
• Bis zum Patch Management-Schnittstellen auf ein dediziertes Management-VLAN beschränken und Zugriffe aus Benutzer-, Gast- und WAN-Netzwerken blockieren.
• Prüfen, ob Management-Schnittstellen aus Benutzer-, Gast- oder Internet-Netzwerken erreichbar sind.
• Logs auf ungewöhnliche Zugriffe auf Management-Schnittstellen überwachen und den KEV-Katalog erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE Security Bulletin HPESBNW05162 support.hpe.com
• CCB Belgium advisory on HPE Networking AOS ccb.belgium.be
• VulDB record CVE-2026-79854 vuldb.com
• CyberExperts: Aruba AOS wireless patches cyberexperts.com
• Carthage Electronics CVE threat brief carthageelectronics.com
• Rescana: HPE Aruba AOS critical CVEs www.rescana.com
• Cybaverse: HPE Aruba AOS critical flaws www.cybaverse.co.uk
• HPE CSAF advisory hpesbnw05026 csaf.arubanetworking.hpe.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:58.