HPE ArubaOS AOS-8: Nicht authentifizierter Pufferüberlauf führt zu Remote Code Execution

Zusammenfassung

Ein Pufferüberlauf in einer nicht näher benannten Schnittstelle von HPE ArubaOS AOS-8 kann ohne Authentifizierung über das Netzwerk ausgelöst werden. Ein erfolgreicher Angreifer könnte beliebigen Code mit privilegierten Rechten auf dem zugrunde liegenden Betriebssystem des Controllers oder Access Points ausführen. Der CNA bewertet die Schwachstelle mit CVSS 3.1 9.8 (Critical); die Gefährdung hängt davon ab, wie weit die Management-Ebene erreichbar ist, nicht nur von der Internetexposition.

Betroffen

• AOS-8.13.x: 8.13.0.0 bis 8.13.3.0
• AOS-8.10.x: 8.10.0.0 bis 8.10.0.23
• Nicht verifiziert: 8.12.x könnte betroffen sein (Quellen widersprechen sich)
• Unbekannt: die genaue betroffene Schnittstelle oder der betroffene Dienst

Behoben in

• AOS-8.13.3.1 oder neuer (gemäss Sekundärberichten, mit HPE zu bestätigen)
• AOS-8.10.0.24 oder neuer (gemäss Sekundärberichten, mit HPE zu bestätigen)

Umgehung

• Keine Workaround-Massnahme nötig, wenn Patchen möglich ist; das Patchen ist die Behebung.
• Übergangsweise: Zugriff auf die Management-Schnittstelle auf ein dediziertes Admin-Segment beschränken, wie in der HPE-Sicherheitsmitteilung HPESBNW05162 empfohlen.

Ausnutzung

• HPE meldet keinen bekannten öffentlichen Exploit-Code und keine Ausnutzung in freier Wildbahn.
• Laut Stand 24. Oktober 2026 nicht im CISA-KEV-Katalog aufgeführt.
• Stand 30. Oktober 2026; CISA KEV und die HPE-Mitteilung erneut prüfen.

Unsere Empfehlung

• Alle AOS-8 Mobility Controller, Conductors und Instant APs im Inventar identifizieren (AOS-10 hat andere Fixversionen).
• Betroffene AOS-8-Geräte mit 8.13.x oder 8.10.x zügig patchen; Conductors und Controller zuerst, danach Access Points, in einem Wartungsfenster.
• Management-Zugriff jetzt auf ein dediziertes Admin-Segment beschränken.
• Betroffene Versionen, einschliesslich 8.12.x, vor der Planung anhand der HPE-Mitteilung bestätigen.
• Auf Herstellerupdates und eine Aufnahme in den KEV-Katalog achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE Security Bulletin HPESBNW05162 support.hpe.com
• Strix CVE record CVE-2026-79859 www.strix.ai
• VulDB entry 425479 vuldb.com
• Brandefense CVE-2026-79844 overview brandefense.io
• Carthage Electronics threat brief carthageelectronics.com
• Cybaverse HPE Aruba AOS critical flaws www.cybaverse.co.uk
• Aviatrix HPE patches AOS flaws aviatrix.ai
• Pwn.watch HPE Aruba AOS critical RCE pwn.watch

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:54.