HPE ArubaOS AOS-10: Authentication Bypass in der API

Zusammenfassung

Ein Authentication Bypass in der API von HPE ArubaOS AOS-10 erlaubt es einem nicht authentifizierten Angreifer im angrenzenden Netzwerk, bestehende Authentifizierungskontrollen zu umgehen. Ein erfolgreicher Angriff könnte administrativen Zugriff ermöglichen, die Änderung von Systemkonfigurationen erlauben sowie Zugriff auf oder Manipulation von sensiblen Daten ermöglichen. Der CVSS-3.1-Basiswert beträgt 9.3 (Critical), und der Angriff erfordert nur einen Zugang zum angrenzenden Netzwerk, etwa Gast-WLAN oder ein Benutzer-VLAN.

Betroffen

Gemäss CVE-Eintrag (HPE als CNA): AOS-10 10.8.0.0 bis 10.8.1.1; 10.7.0.0 bis 10.7.2.6; 10.4.0.0 bis 10.4.1.13 (Standard: betroffen).

• Die Quellen widersprechen sich bei den genauen Bereichen (einige nennen stattdessen AOS-10.6 und AOS-10.3, eine führt AOS-10.5 als vermutlich betroffen). Der Bereich für diese CVE ist unverifiziert; bitte die Tabelle im HPE-Bulletin prüfen.

Behoben in

Von Drittquellen gemeldete Fix-Versionen, noch nicht auf der HPE-Seite verifiziert:

• AOS-10 10.8.1.2
• AOS-10 10.7.2.7
• AOS-10 10.4.1.14

Der Patch-Status für die Release-Linien AOS-10.5 und AOS-10.6 ist unklar. Ohne Bestätigung durch HPE nicht von einer Behebung ausgehen.

Umgehung

Vorläufige Empfehlungen von HPE für das Bulletin:

• Die Management-Schnittstellen für CLI und Web auf ein dediziertes Layer-2-VLAN und/oder Firewall-Regeln ab Layer 3 beschränken.
• PAPI-Verkehr (UDP 8211) auf vertrauenswürdige Geräte begrenzen. Es ist nicht bestätigt, dass PAPI für diese CVE der Angriffsweg ist.
• Logs auf unerwartete administrative Anmeldungen oder Konfigurationsänderungen prüfen.

Ausnutzung

• HPE meldete zum Zeitpunkt der Veröffentlichung keine aktive Ausnutzung und keine öffentlichen Exploit-Werkzeuge für die Fehler im Bulletin. Dies gilt für das Bulletin insgesamt.
• Laut Drittseiten nicht im CISA-KEV-Katalog; nicht direkt geprüft.
• Laut einer Drittseite liegt der EPSS-Wert unter 1 %.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Alle AOS-10- und AOS-8-Geräte (Controller, Gateways, Access Points) mit exakten Versionen inventarisieren.
• Zugriff auf Management-Schnittstellen und PAPI sofort einschränken und verhindern, dass Gast- und Benutzernetze sie erreichen.
• Den betroffenen Bereich für CVE-2026-79874 im HPE-Bulletin bestätigen, insbesondere für AOS-10.5 und AOS-10.6.
• Jede Release-Linie auf die von HPE genannte Fix-Version aktualisieren.
• Logs auf unerwartete administrative Zugriffe oder Konfigurationsänderungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE security bulletin HPESBNW05162 support.hpe.com
• OpenCVE: CVE-2026-79874 app.opencve.io
• Strix: CVE-2026-79874 www.strix.ai
• VulDB entry 425473 (conflicting description, treat as unreliable) vuldb.com
• Securityonline: HPE Networking AOS vulnerabilities securityonline.info
• Cyberexperts: Aruba AOS wireless patches cyberexperts.com
• Rescana: HPE Aruba AOS CVE analysis www.rescana.com
• Techbytes: HPE patches AOS flaws techbytes.app

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:53.