HPE ArubaOS AOS-8: Authentifizierungsumgehung führt zu Remote Code Execution

Zusammenfassung

Eine Authentifizierungsumgehung in einer Schnittstelle von ArubaOS AOS-8 erlaubt einem nicht authentifizierten Angreifer, beliebige Befehle auf dem zugrunde liegenden Host betroffener Mobility Conductors und Mobility Controller auszuführen. Eine erfolgreiche Ausnutzung kann zur vollständigen Kompromittierung des Geräts führen. Der Angreifer muss sich im selben Netzwerksegment befinden (angrenzender Zugriff), daher ist die Schwachstelle nicht direkt aus dem Internet erreichbar. Der CVSS-Wert 9.6 stammt aus dem NVD-/CNA-Eintrag; der eigene Wert von HPE wurde nicht verifiziert.

Betroffen

• AOS-8.13.0.0 bis 8.13.3.0
• AOS-8.10.0.0 bis 8.10.0.23 (Standard: betroffen)
• Unbekannt: ob weitere AOS-8-Versionen betroffen sind; der CVE-spezifische Bereich aus der Versionstabelle von HPE wurde nicht bestätigt. Der Drittanbieter Strix nennt einen engeren Bereich (8.12.0.0 bis 8.13.3.0 und 8.10.0.0 bis 8.10.0.23), der nicht mit HPE abgeglichen werden konnte.

Behoben in

• AOS-8.13.x: 8.13.3.1 und höher
• AOS-8.10.x: 8.10.0.24 und höher
• AOS-8.12-Zweig: keine korrigierte Version; Geräte auf einen korrigierten Zweig migrieren.

Umgehung

• Management-Schnittstellen (CLI und Web) von nicht vertrauenswürdigen Netzwerken fernhalten, wie von HPE empfohlen.
• Management in ein dediziertes Management-VLAN oder Layer-2-Segment legen oder den Zugriff mit Firewall-Regeln einschränken.
• Accounting und Logging auf den Management-Schnittstellen aktivieren.
• Diese Massnahmen sind provisorisch und beseitigen die Schwachstelle nicht.

Ausnutzung

• HPE ist zum Veröffentlichungsdatum keine öffentliche Diskussion oder kein öffentlicher Exploit-Code zu den aufgeführten Schwachstellen bekannt.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar.
• Stand 25. Okt. 2026 war die CVE nicht im KEV-Katalog der CISA enthalten.
• In der Recherche wurde kein öffentlicher Proof of Concept gefunden; das Fehlen von Nachweisen ist kein Beweis.
• Für die gesamte Advisory-Gruppe wurden EPSS-Werte unter 1% gemeldet, nicht spezifisch für diese CVE.

Unsere Empfehlung

• Alle AOS-8-Controller und Instant Access Points inventarisieren und deren Versionen erfassen.
• CLI- und Web-Management jetzt auf ein Management-VLAN oder Firewall-Regeln beschränken.
• Upgrade auf 8.13.3.1 oder 8.10.0.24 (oder neuer im selben Zweig) planen; Geräte mit 8.12 auf einen korrigierten Zweig migrieren.
• Das gesamte HPE-Advisory im selben Patch-Zyklus einspielen, da es 72 Schwachstellen umfasst.
• Die HPE-Meldung auf Revisionen, den KEV-Katalog und öffentliche Proof-of-Concept-Veröffentlichungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE Security Bulletin HPESBNW05162 support.hpe.com
• VulDB entry for CVE-2026-79867 vuldb.com
• Cyberexperts: Aruba AOS wireless patches cyberexperts.com
• Carthage Electronics: October 2026 CVE threat brief carthageelectronics.com
• Brandefense: CVE-2026-79844 (advisory batch) brandefense.io
• Rescana: HPE Aruba AOS advisory, October 2026 www.rescana.com
• Cybaverse: HPE Aruba AOS critical flaws www.cybaverse.co.uk
• Strix: CVE-2026-79867 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:11.