ArubaOS 10: Authentifizierungsumgehung im PAPI-Protokoll

Zusammenfassung

Authentifizierungsumgehungs-Schwachstellen im PAPI-Verwaltungsprotokoll von ArubaOS 10 (AOS-10) erlauben einem nicht authentifizierten Angreifer im angrenzenden Netzwerk, bestehende Authentifizierungskontrollen zu umgehen. Bei erfolgreicher Ausnutzung kann ein Angreifer administrativen Zugriff erlangen, Systemkonfigurationen ändern sowie sensible Daten auf betroffenen Geräten einsehen oder manipulieren. Der CVSS-Vektor in den CVE-Daten lautet AV:A (angrenzendes Netzwerk), einige Quellen nennen jedoch AV:N, weshalb die Erreichbarkeit von UDP-Port 8211 geprüft werden muss. Die CVE-ID weicht zwischen dem NVD-Eintrag und dem HPE-Bulletin ab, daher ist die Zuordnung zu bestätigen.

Betroffen

• ArubaOS 10.8: 10.8.0.0 bis 10.8.1.1
• ArubaOS 10.7: 10.7.0.0 bis 10.7.2.6
• ArubaOS 10.4: 10.4.0.0 bis 10.4.1.13
• Die unteren Grenzen unterscheiden sich zwischen den Quellen; die Versionstabelle im HPE-Advisory ist zu prüfen.
• AOS-8 ist laut den Quellen von dieser PAPI-Schwachstelle nicht betroffen.

Behoben in

• AOS-10 10.8.1.2
• AOS-10 10.7.2.7
• AOS-10 10.4.1.14
• Die Korrekturen für AOS-8 (8.13.3.1 und 8.10.0.24) gelten nicht für diese Schwachstelle.

Umgehung

• Die Verwaltungsoberflächen für CLI und Web auf ein dediziertes Layer-2-Segment oder VLAN legen und/oder mit Firewall-Richtlinien ab Layer 3 einschränken (vorläufige Empfehlung von HPE laut Berichten).
• UDP-Port 8211 (PAPI) aus Netzwerksegmenten blockieren, die keinen Zugriff auf die Controller benötigen.
• Eine Konfigurationsoption ersetzt das Patch nicht; nur die korrigierten Versionen beheben die Schwachstelle.

Ausnutzung

HPE hat laut Berichten zum Zeitpunkt des Advisories keine Hinweise auf aktive Ausnutzung in freier Wildbahn gefunden und kannte keinen öffentlichen Exploit-Code. In den verfügbaren Quellen wurde kein Eintrag im CISA-KEV-Katalog bestätigt. Es wurde kein öffentlicher Proof of Concept gefunden, was jedoch nicht heisst, dass keiner existiert.

Unsere Empfehlung

• Alle Aruba-Controller und Access Points mit AOS-10 erfassen und deren Versionen mit den korrigierten Versionen vergleichen.
• Betroffene Geräte auf AOS-10 10.8.1.2, 10.7.2.7, 10.4.1.14 oder neuer aktualisieren.
• Bis zur Aktualisierung UDP-Port 8211 und die Verwaltungsoberflächen auf die benötigten Netzwerke beschränken und sicherstellen, dass sie nicht aus dem Internet erreichbar sind.
• CVE-ID und Versionsbereiche anhand des HPE-Bulletins HPESBNW05162 und der NVD bestätigen.
• Auf KEV-Einträge oder öffentliche Exploits achten, da das Advisory noch neu ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE Security Bulletin HPESBNW05162 support.hpe.com
• BleepingComputer: HPE patches eight max-severity flaws in AOS www.bleepingcomputer.com
• Cyberexperts: Aruba AOS wireless patches cyberexperts.com
• The Layman's Security: HPE Aruba AOS critical flaws thelaymansecurity.com
• VulDB entry 425538 vuldb.com
• OffSeq Radar: CVE-2026-79873 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:52.