HPE ArubaOS AOS-10: Command Injection ohne Authentifizierung aus dem lokalen Netz

Zusammenfassung

HPE ArubaOS AOS-10, das Wireless-Betriebssystem für Aruba-Controller, Gateways und Access Points, enthält eine Command-Injection-Schwachstelle in einer betroffenen Schnittstelle. Ein nicht authentifizierter Angreifer im selben Netzwerksegment kann Befehle einschleusen und diese laut CNA-Beschreibung als privilegierter Benutzer auf dem zugrunde liegenden Betriebssystem ausführen. Die CNA gibt CVSS 9.6 und CWE-77 an, VulDB dagegen CVSS 7.3 und CWE-94, weshalb das HPE-Advisory geprüft werden sollte. Das Risiko hängt davon ab, ob Management-Schnittstellen aus Benutzer-, Gast- oder anderen nicht vertrauenswürdigen Segmenten erreichbar sind.

Betroffen

• ArubaOS (AOS-10) 10.8.0.0 bis 10.8.1.1
• ArubaOS (AOS-10) 10.7.0.0 bis 10.7.2.6
• ArubaOS (AOS-10) 10.4.0.0 bis 10.4.1.13
• Einige Quellen führen auch die Branches 10.3.x und 10.6.x als betroffen auf. Unbekannt, ob das Advisory diese abdeckt.
• Betroffene Schnittstelle: Unbekannt.

Behoben in

• AOS-10 10.8.1.2
• AOS-10 10.7.2.7
• AOS-10 10.4.1.14
• Diese Versionen stammen aus Sekundärquellen und müssen mit dem HPE-Advisory HPESBNW05162 abgeglichen werden.
• Korrigierte Version für die Branches 10.3.x und 10.6.x: Unbekannt.

Umgehung

• Die CLI- und Web-Management-Schnittstellen auf ein dediziertes Management-VLAN und/oder eine Firewall-Richtlinie beschränken.
• Administrative Aktivitäten protokollieren.
• Eine Quelle empfiehlt zusätzlich das Blockieren von UDP 8211 (PAPI). Dies ist für diese CVE nicht bestätigt.
• Diese Massnahmen sind nur provisorisch. Das Patchen ist die primäre Behebung.

Ausnutzung

• Zum Zeitpunkt der Recherche ist HPE keine Ausnutzung bekannt.
• Nicht im CISA-KEV-Katalog aufgeführt (zuletzt geprüft am 23. bis 24. Okt. 2026).
• Kein öffentlicher Proof of Concept bekannt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.

Unsere Empfehlung

• Alle Aruba-Controller, Gateways und AOS-10-Access-Points inventarisieren und deren Versionen prüfen.
• Auf die korrigierten Versionen aktualisieren. Conductoren bzw. Controller zuerst, danach Access Points, in einem Wartungsfenster aktualisieren, da APs neu starten.
• Bis zum Patch Management-Schnittstellen auf ein dediziertes Management-VLAN und Firewall-Regeln beschränken und die Administrationsprotokolle überwachen.
• HPE-Advisory und KEV-Status vor der endgültigen Priorisierung erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE Security Bulletin HPESBNW05162 support.hpe.com
• VulDB CVE-2026-79864 vuldb.com
• VulDB entry 425500 vuldb.com
• Carthage Electronics threat brief carthageelectronics.com
• Cybaverse HPE Aruba AOS critical flaws www.cybaverse.co.uk
• Rescana HPE Aruba AOS advisory summary www.rescana.com
• Brandefense HPE Aruba AOS vulnerabilities brandefense.io
• Cyberexperts Aruba AOS wireless patches cyberexperts.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:16.