HPE Aruba AOS-8: Pufferüberlauf im PAPI-Protokoll erlaubt Umgehung der Authentifizierung
Zusammenfassung
Ein Pufferüberlauf im PAPI-Protokoll von HPE ArubaOS AOS-8 erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, die Authentifizierung zu umgehen. Bei erfolgreicher Ausnutzung könnte ein Angreifer administrativen Zugriff erlangen, die Systemkonfiguration ändern und sensible Daten einsehen oder manipulieren. Controller, die aus dem Internet oder aus nicht vertrauenswürdigen Netzwerken erreichbar sind, sind am stärksten gefährdet; NVD hat die CVE noch nicht bewertet, und die CNA stuft sie mit CVSS 9.8 (kritisch) ein.
Betroffen
- AOS-8 8.13.0.0 bis 8.13.3.0
- AOS-8 8.10.0.0 bis 8.10.0.23
- AOS-8-Zweig 8.12: laut Sekundärquellen betroffen, im offiziellen CVE-Eintrag nicht bestätigt; gegen das HPE-Bulletin prüfen
- Releases im End-of-Maintenance-Status sind als betroffen anzunehmen.
Behoben in
- AOS-8 8.13.3.1 oder neuer
- AOS-8 8.10.0.24 oder neuer
- AOS-8 8.12.x: kein behobenes Release; auf einen behobenen Zweig migrieren
Umgehung
Unbekannt. Für diese CVE wurde kein herstellerspezifischer Workaround bestätigt. Den Zugriff auf die Management-Schnittstellen bis zum Abschluss der Patches einschränken.
Ausnutzung
- Aktive Ausnutzung in freier Wildbahn: nein, laut HPE.
- Öffentlicher Proof of Concept: keiner bekannt.
- CISA KEV: am 24. Oktober 2026 nicht gelistet.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Alle AOS-8-Controller, Gateways und Instant APs mit exakten Build-Nummern inventarisieren.
- Auf 8.13.3.1 oder 8.10.0.24 oder neuer aktualisieren oder von nicht mehr unterstützten Zweigen migrieren.
- UDP 8211, die Web-Management-Schnittstelle und SSH auf Management-Netze beschränken und Controller nicht aus dem Internet erreichbar machen (allgemeine Härtung, keine von HPE bestätigte Massnahme).
- Logs auf unerwartete Admin-Anmeldungen oder Konfigurationsänderungen seit dem 22. Oktober 2026 prüfen.
- Das HPE-Bulletin und den CISA-KEV-Katalog erneut prüfen, da sich der Status rasch ändern kann.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- HPE Security Bulletin HPESBNW05162 support.hpe.com
- CCB Belgium advisory on HPE Networking AOS vulnerabilities ccb.belgium.be
- Strix CVE-2026-79856 www.strix.ai
- Vulners PT-2026-121595 vulners.com
- Cybaverse: HPE Aruba AOS critical flaws www.cybaverse.co.uk
- Carthage Electronics CVE threat brief, 24 October 2026 carthageelectronics.com
- The Backroom Tech: HPE patches 72 ArubaOS vulnerabilities thebackroomtech.com
- SecurityOnline: HPE Networking AOS vulnerabilities securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:01.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.