HPE ArubaOS 8: Authentifizierungsumgehung im PAPI-Protokoll

Zusammenfassung

Eine Authentifizierungsumgehung im PAPI-Protokoll von HPE ArubaOS 8 (AOS-8) erlaubt einem nicht authentifizierten Angreifer im benachbarten Netzwerk, bestehende Authentifizierungskontrollen zu umgehen. Eine erfolgreiche Ausnutzung könnte administrativen Zugriff, Änderungen an der Systemkonfiguration, Zugriff auf oder Manipulation von sensiblen Daten sowie Störungen des Netzwerkbetriebs ermöglichen. Es sind keine Zugangsdaten und keine Benutzerinteraktion erforderlich, der Angreifer muss jedoch im selben Netzwerksegment wie das betroffene Gerät sein. Der CVSS-v3.1-Basiswert von 9.6 (kritisch) stammt aus dem CNA-Eintrag.

Betroffen

• AOS-8 8.13.0.0 bis 8.13.3.0 (gemäss CNA-Eintrag)
• AOS-8 8.10.0.0 bis 8.10.0.23 (gemäss CNA-Eintrag)
• Zweige AOS-8 8.12 und älter als betroffen behandeln; für diese Zweige ist keine korrigierte Version bestätigt.
• Den genauen Bereich vor einem Eingriff im HPE-Advisory HPESBNW05162 prüfen.

Behoben in

• AOS-8 8.13.3.1 oder neuer
• AOS-8 8.10.0.24 oder neuer
• Zweige 8.12 und älter: keine korrigierte Version bestätigt; auf einen korrigierten Release-Zweig wechseln.

Umgehung

• Management-Schnittstellen (CLI, Web-UI) von nicht vertrauenswürdigen Netzwerken fernhalten und auf ein dediziertes Management-VLAN oder über Firewall-Richtlinien mit Protokollierung beschränken (Empfehlung von HPE, wie berichtet).
• Drittanbieter-Empfehlung, nicht vom Hersteller verifiziert: UDP 8211 (PAPI) an Netzwerkgrenzen von Segmenten blockieren, die keinen Zugriff auf die Controller benötigen.
• Workarounds reduzieren nur die Exposition; die eigentliche Massnahme ist das Einspielen des Patches.

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• Zum letzten Prüfzeitpunkt nicht im CISA-KEV-Katalog gelistet (im Katalog selbst prüfen).
• In den Recherchen kein öffentlicher Proof of Concept gefunden; dies schliesst dessen Existenz nicht aus.
• Verwandte AOS-8-CVEs sind mit dem Ausnutzungsstatus Unbekannt aufgeführt.

Unsere Empfehlung

• Alle AOS-8 Mobility Conductors, Controller, Gateways und Instant Access Points inventarisieren, auch solche in den Zweigen 8.12 oder älter.
• Auf 8.13.3.1 oder 8.10.0.24 oder neuer aktualisieren, dabei die Upgrade-Hinweise von HPE befolgen und die genaue Build-Version im HPE-Portal bestätigen.
• Bis zum Patch UDP 8211 (PAPI) und Management-Schnittstellen auf die Controller- und AP-Subnetze beschränken und die Einschränkung testen.
• Controller-Protokolle auf unerwartete Administrator-Anmeldungen oder Konfigurationsänderungen prüfen.
• Auf öffentlichen Proof-of-Concept-Code und eine KEV-Aufnahme achten und den NVD-Eintrag nach Abschluss der Analyse erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE Security Bulletin HPESBNW05162 support.hpe.com
• Strix AI: CVE-2026-79870 www.strix.ai
• VulDB: CVE-2026-79870 (conflicting CVSS, not authoritative) vuldb.com
• Cyberpress: Critical HPE Aruba AOS-8 vulnerability cyberpress.org
• Windows Forum: HPE Aruba AOS-8 and AOS-10 security update windowsforum.com
• Cybaverse: HPE Aruba AOS critical flaws www.cybaverse.co.uk
• CyberExperts: Aruba AOS wireless patches cyberexperts.com
• Brandefense: CVE-2026-79844 (sibling AOS-8 CVEs) brandefense.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:13.