HPE AOS-10: Offenlegung sensibler Informationen in der Wi-Fi-Frame-Verarbeitung

Zusammenfassung

Eine Schwachstelle zur Offenlegung sensibler Informationen in der Wi-Fi-Frame-Verarbeitung von HPE AOS-10 erlaubt einem nicht authentifizierten Angreifer innerhalb der Funkreichweite, auf sensible Informationen zuzugreifen. Die abgerufenen Daten könnten einem Angreifer helfen, auf Netzwerkdienste zuzugreifen, die von AOS-10 unterstützt werden, oder den normalen Betrieb dieser Dienste stören. Der CNA stuft die Schwachstelle als kritisch ein (CVSS 9.3), und die CISA-SSVC-Bewertung lautet Automatable: no.

Betroffen

• HPE ArubaOS (AOS-10) 10.8.0.0 bis 10.8.1.1
• HPE ArubaOS (AOS-10) 10.7.0.0 bis 10.7.2.6
• HPE ArubaOS (AOS-10) 10.4.0.0 bis 10.4.1.13
• Andere Zweige: Unbekannt. Die CVE-spezifische Tabelle betroffener Versionen in HPESBNW05162 prüfen.

Behoben in

• Gemeldete korrigierte Builds (Sekundärquellen, gegen HPESBNW05162 prüfen): 10.8.1.2, 10.7.2.7, 10.4.1.14
• Korrekturstatus anderer Zweige: Unbekannt.

Umgehung

• Kein CVE-spezifischer Workaround bekannt.
• Allgemeine Empfehlung einer Sekundärquelle: Zugriff auf Management-Schnittstellen einschränken, bis das Patchen abgeschlossen ist.

Ausnutzung

• Keine Hinweise auf eine aktive Ausnutzung bekannt.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• VulDB: EPSS 0.00000, nicht in KEV gelistet.
• In den geprüften Quellen wurde kein öffentlicher Exploit-Code oder Proof of Concept gefunden.

Unsere Empfehlung

• Alle AOS-10-Controller, Gateways und Access Points sowie deren Versionen erfassen.
• Die korrigierten Builds in HPESBNW05162 bestätigen und anschliessend patchen. Weitere ausstehende AOS-8/AOS-10-Korrekturen im selben Wartungsfenster einspielen.
• Bis zum Patchen den Zugriff auf Management-Schnittstellen einschränken und prüfen, welche SSIDs und Standorte von Aussenstehenden erreicht werden können.
• Herstellerhinweise und Berichte zur Ausnutzung auf Änderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE Security Bulletin HPESBNW05162 support.hpe.com
• CyberExperts: Aruba AOS wireless patches cyberexperts.com
• VulDB: CVE-2026-79876 vuldb.com
• INCIBE-CERT: CVE-2026-79876 www.incibe.es
• Strix: CVE-2026-79876 www.strix.ai
• Adyog: HPE Aruba AOS eight max severity flaws pulse.adyog.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:51.