HPE ArubaOS 8: Authentifizierungsumgehung im SSH-Daemon

Zusammenfassung

Der SSH-Daemon von HPE ArubaOS 8 (AOS-8), dem Betriebssystem für Mobility Conductors, Mobility Controllers, Mobility Gateways und Access Points, enthält eine Authentifizierungsumgehung. Ein nicht authentifizierter Angreifer aus dem Netzwerk, der den SSH-Dienst erreichen kann, kann die Anmeldung umgehen und administrative Rechte erlangen, was zur vollständigen Kompromittierung des AOS-8-Hosts führen kann. Der CVSS-Basiswert beträgt 9.8 (Critical). Laut CISA SSVC ist eine Ausnutzung automatisierbar.

Betroffen

• AOS-8 8.13.0.0 bis 8.13.3.0 (gemäss CVE-Eintrag; ältere Branches unbekannt)
• AOS-8 8.10.0.0 bis 8.10.0.23 (gemäss CVE-Eintrag; ältere Branches unbekannt)
• Hinweis: Versionen anhand des HPE-Advisory HPESBNW05162 rev.1 überprüfen

Behoben in

• AOS-8.13.3.1 (gemäss Sekundärberichten, bei HPE überprüfen)
• AOS-8.10.0.24 (gemäss Sekundärberichten, bei HPE überprüfen)
• Korrigierte Versionen für andere AOS-8-Branches: Unbekannt.

Umgehung

• Keine spezifische Gegenmassnahme bekannt.
• Übergangsmassnahme: SSH- und Management-Zugriff auf vertrauenswürdige Administrationsnetze beschränken.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine Ausnutzung festgestellt.
• Laut einer Quelle nicht im CISA-KEV-Katalog aufgeführt.
• Kein öffentlicher Proof of Concept gefunden; fehlende Hinweise sind kein Beweis für Sicherheit.

Unsere Empfehlung

• Prüfen, ob AOS-8 Mobility Conductors, Controllers, Gateways oder Access Points eingesetzt werden und ob deren SSH-Dienst aus unvertrauenswürdigen Netzen erreichbar ist.
• SSH- und Management-Zugriff sofort auf vertrauenswürdige Administrationsnetze beschränken.
• Die Updates aus dem HPE-Advisory HPESBNW05162 insgesamt einspielen, nicht nur für diese CVE, nachdem die korrigierten Versionen im Advisory überprüft wurden.
• Auf Ausnutzungsversuche und unerwartete administrative Anmeldungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE Security Bulletin HPESBNW05162 support.hpe.com
• HPE Networking Support Portal Security Notifications networkingsupport.hpe.com
• CyberSecurityNews: HPE warns of Aruba Networking flaws cybersecuritynews.com
• Rescana: HPE Aruba AOS CVE-2026-79844 critical www.rescana.com
• Strix AI: CVE-2026-79855 www.strix.ai
• CCB Belgium advisory: multiple critical HPE Networking AOS vulnerabilities ccb.belgium.be
• Aviatrix: HPE patches AOS flaws 2026 aviatrix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:00.