HPE ArubaOS AOS-10: Unauthentifizierte Command Injection im PAPI-Protokoll

Zusammenfassung

Eine Command-Injection-Schwachstelle im PAPI-Verwaltungsprotokoll von HPE Aruba AOS-10 erlaubt einem nicht authentifizierten Angreifer, beliebigen Code mit privilegierten Rechten auf dem zugrunde liegenden Betriebssystem auszuführen. Der Angreifer benötigt lediglich Netzwerkzugriff auf den PAPI-Dienst (UDP 8211) eines betroffenen Access Points, Gateways oder Controllers und keine Zugangsdaten. Der CVSS-Score beträgt 9.8 (kritisch). Das Bulletin umfasst insgesamt 72 CVEs, weshalb das Patch das gesamte Advisory abdecken sollte.

Betroffen

• AOS-10.8.x bis und mit 10.8.1.1 (gemäss HPE-Advisory-Auszug; einige Quellen nennen ab 10.8.0.0)
• AOS-10.7.x bis und mit 10.7.2.6
• AOS-10.4.x bis und mit 10.4.1.13 (gemäss NVD-Eintrag; im HPE-Auszug nicht bestätigt)
• Die Quellen widersprechen sich bezüglich der Zweige 10.3 und 10.6; im vollständigen HPE-Advisory prüfen.

Behoben in

• AOS-10.8.x: 10.8.1.2 oder neuer
• AOS-10.7.x: 10.7.2.7 oder neuer
• AOS-10.4.x: 10.4.1.14 oder neuer
• Zweig AOS-10.6: Unbekannt. In den Quellen wurde kein korrigierter Build gefunden.
• End-of-Support-Zweige: HPE listet für einige davon keine Korrekturen. Für diese Versionen unbekannt.

Umgehung

• UDP 8211 (PAPI) aus unvertrauenswürdigen Netzen, Gast-Netzen, IoT-Netzen und dem Internet blockieren.
• Management-Zugriff auf ein dediziertes Admin-VLAN beschränken.
• CPsec (IPsec-Tunnel für PAPI) behebt diese Schwachstelle nicht; nur die korrigierten Builds tun dies.

Ausnutzung

Zum Zeitpunkt der Erstellung (30. Oktober 2026) ist kein öffentlicher Exploit-Code und keine Ausnutzung in freier Wildbahn bekannt. Ein Eintrag im CISA-KEV-Katalog wurde nicht gefunden. Der Status sollte erneut geprüft werden, da es sich um eine nicht authentifizierte RCE handelt.

Unsere Empfehlung

• Alle AOS-10-Geräte und deren Versionen inventarisieren, einschliesslich Geräte im End-of-Support.
• Betroffene Geräte prioritär auf die oben genannten korrigierten Builds aktualisieren und den Rest des Bulletins ebenfalls einspielen.
• Bis zum Patch UDP 8211 aus unvertrauenswürdigen Netzen blockieren und den Management-Zugriff einschränken.
• Prüfen, ob PAPI oder das Management-Interface aus dem Internet erreichbar sind (externer Scan, Firewall-Regeln).
• Geräte auf ungewöhnliche Prozesse, Konfigurationsänderungen und ausgehende Verbindungen überwachen.
• Geräte im End-of-Support, für die keine Korrekturen erscheinen, ersetzen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE Security Bulletin HPESBNW05162 support.hpe.com
• Belgian CCB advisory ccb.belgium.be
• PT database record PT-2026-121600 vulners.com
• SecurityOnline summary of HPE Networking AOS vulnerabilities securityonline.info
• Rescana analysis of HPE Aruba AOS vulnerabilities www.rescana.com
• Safeguard.sh analysis of AOS 8 and AOS 10 vulnerabilities safeguard.sh
• Back Room Tech summary of ArubaOS vulnerabilities thebackroomtech.com
• pwn.watch summary of HPE Aruba AOS RCE pwn.watch

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:56.