HPE ArubaOS (AOS-8): Unauthentifizierte SQL-Injection im PAPI-Protokoll

Zusammenfassung

Eine unauthentifizierte SQL-Injection im PAPI-Protokoll von AOS-8 erlaubt einem Angreifer aus der Ferne, sensible Daten in der zugrunde liegenden Datenbank zu lesen und zu verändern sowie den Dienst zu unterbrechen. PAPI ist das Protokoll von Aruba zur Verwaltung von Access Points und läuft auf UDP-Port 8211. Es ist keine Anmeldung nötig, daher ist die Erreichbarkeit dieses Ports aus unsicheren Netzwerken das Hauptrisiko. Der CVSS-Wert 9.8 (Critical) stammt aus dem Datensatz der CNA; die Analyse durch NVD war zum Zeitpunkt der Recherche noch ausstehend.

Betroffen

• AOS-8.13.0.0 bis 8.13.3.0
• AOS-8.10.0.0 bis 8.10.0.23
• AOS-8.12: Die Quellen widersprechen sich; bis die CSAF-Datei von HPE Klarheit schafft, als betroffen behandeln
• AOS-10 ist von dieser CVE nicht betroffen

Behoben in

• AOS-8.13.x: 8.13.3.1 und neuer (Sekundärquelle, noch nicht gegen die Tabelle des Advisory geprüft)
• AOS-8.10.x: 8.10.0.24 und neuer (Sekundärquelle, noch nicht gegen die Tabelle des Advisory geprüft)
• AOS-8.12: keine eigene Korrektur; auf einen korrigierten Release-Zweig wechseln (8.13.3.1 oder neuer)

Umgehung

• Kein CVE-spezifischer Workaround des Herstellers bestätigt. Die allgemeine Empfehlung von HPE lautet, korrigierte Versionen zu installieren und den Zugriff auf Verwaltungsschnittstellen einzuschränken.
• Übergangsmassnahme (kein dokumentierter Workaround von HPE): UDP 8211 aus unsicheren Netzwerken blockieren und Verwaltungsschnittstellen bis zur Korrektur in einem dedizierten Segment betreiben.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• HPE hat keine Kenntnis von Exploit-Code oder Angriffen.
• Nicht im Katalog CISA KEV gelistet.
• In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden (Stand 22. bis 26. Oktober 2026).

Unsere Empfehlung

• Alle AOS-8 Mobility Conductors, Controller, Gateways und Instant APs inventarisieren, auch Geräte mit 8.12.
• Auf 8.13.3.1 oder 8.10.0.24 (oder neuer) aktualisieren oder 8.12-Geräte auf 8.13 migrieren.
• UDP 8211 und Verwaltungsschnittstellen sofort auf vertrauenswürdige Netzwerke beschränken und prüfen, dass sie nicht aus dem Internet erreichbar sind.
• Das gesamte HPE-Advisory HPESBNW05162 patchen, da es mehrere höher bewertete AOS-8-Schwachstellen enthält.
• Die genauen betroffenen Versionsbereiche in der CSAF-Datei von HPE prüfen, bevor das Ticket geschlossen wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE Security Bulletin HPESBNW05162 support.hpe.com
• CCB Belgium advisory on HPE Networking AOS ccb.belgium.be
• CyberExperts: Aruba AOS wireless patches cyberexperts.com
• Rescana: HPE Aruba AOS critical October 2026 www.rescana.com
• Brandefense: CVE-2026-79844 (bundle context) brandefense.io
• Cybaverse: HPE Aruba AOS critical flaws www.cybaverse.co.uk
• GBHackers: Critical HPE Aruba AOS-8 flaw gbhackers.com
• Strix AI: CVE-2026-79858 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:54.