HPE ArubaOS AOS-10: Speicherbeschädigung ermöglicht Remote Code Execution

Zusammenfassung

HPE ArubaOS AOS-10, das Betriebssystem für Mobility Conductors, Controller und Gateways, AOS-10 Access Points sowie AOS-8 Instant Access Points, enthält eine Speicherbeschädigung in einer betroffenen Schnittstelle. Ein nicht authentifizierter Angreifer im selben Netzwerksegment (adjazent) kann Remote Code Execution erreichen. Bei erfolgreicher Ausnutzung kann beliebiger Code als privilegierter Benutzer auf dem zugrunde liegenden Betriebssystem ausgeführt werden, mit einem CVSS-3.1-Wert von 9.6 (kritisch). Die genaue verwundbare Schnittstelle wurde von HPE in den öffentlichen Zusammenfassungen nicht bestätigt.

Betroffen

• AOS-10.8.x: 10.8.0.0 bis 10.8.1.1
• AOS-10.7.x: 10.7.0.0 bis 10.7.2.6
• AOS-10.4.x: 10.4.0.0 bis 10.4.1.13
• Nicht aufgeführte Versionszweige, einschliesslich Releases ohne Wartung, sind als betroffen zu behandeln (gemäss einer Drittanbieter-Zusammenfassung; bei HPE prüfen).

Behoben in

• AOS-10.8.x: 10.8.1.2 und neuer
• AOS-10.7.x: 10.7.2.7 und neuer
• AOS-10.4.x: 10.4.1.14 und neuer

Umgehung

Unbekannt. In den geprüften Quellen wurde kein vom Hersteller dokumentierter Workaround gefunden; der vollständige HPE-Sicherheitshinweis sollte direkt geprüft werden.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn, gemäss HPE.
• Kein öffentlicher Exploit-Code und kein Proof of Concept gefunden.
• Nicht im CISA KEV aufgeführt. CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.

Unsere Empfehlung

• AOS-10- und AOS-8-Geräte auf die oben genannten Fixed-Releases aktualisieren und den gesamten Bestand gemeinsam patchen, da diese CVE Teil einer grossen Sammlung im HPE-Hinweis HPESBNW05162 ist.
• Bis zum Patch den Zugriff auf AOS-10-Geräte im benachbarten Netzwerk einschränken (Management-VLANs, Trennung von Gast- und Client-Netzen).
• Prüfen, ob Geräte eine betroffene Version einsetzen und ob sie in flachen oder gemeinsam genutzten Wi-Fi- oder LAN-Segmenten hängen; diese als hohe Priorität behandeln.
• HPE-Hinweis und NVD-Eintrag erneut prüfen, da die Informationen neu sind und sich ändern können.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE Security Bulletin HPESBNW05162 support.hpe.com
• CCB Belgium advisory on HPE Networking AOS ccb.belgium.be
• Carthage Electronics CVE threat brief, 24 October 2026 carthageelectronics.com
• PwnWatch: HPE Aruba AOS critical RCE, October 2026 pwn.watch
• Windows Forum: HPE Aruba AOS 8 and AOS 10 security update windowsforum.com
• Strix CVE record CVE-2026-79865 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:16.