HPE ArubaOS AOS-8: Command Injection über PAPI-Protokoll ohne Authentifizierung

Zusammenfassung

Eine Command Injection in der Kommandozeilenschnittstelle von AOS-8, erreichbar über das PAPI-Protokoll auf UDP-Port 8211, betrifft HPE ArubaOS-8-Controller und zugehörige Infrastruktur. Ein nicht authentifizierter Angreifer im selben Netzwerksegment kann präparierte PAPI-Pakete senden und beliebigen Code als privilegierter Benutzer auf dem zugrunde liegenden Betriebssystem ausführen. Der CVSS-Basiswert beträgt 8.8 (Hoch), und CISA SSVC bewertet die technische Auswirkung als total.

Betroffen

• ArubaOS 8.13.0.0 bis 8.13.3.0 (laut CVE-Eintrag und Sekundärquellen; gegen die Versionstabelle des HPE-Advisory prüfen)
• ArubaOS 8.10.0.0 bis 8.10.0.23 (Standard: betroffen)
• Der Zweig 8.11 ist in den geprüften Quellen nicht aufgeführt; nicht davon ausgehen, dass er nicht betroffen ist.
• Die Versionsbereiche widersprechen sich zwischen den Quellen; das HPE-Advisory ist massgebend.

Behoben in

• Kandidaten für Korrekturen (nicht bestätigt, im HPE-Advisory zu prüfen): ArubaOS 8.13.3.1 und 8.10.0.24
• Unbekannt, ob das Advisory diese Versionen konkret diesem CVE zuordnet.

Umgehung

• Kein CVE-spezifischer Workaround von HPE bestätigt.
• Management-Schnittstellen in ein dediziertes VLAN oder Layer-2-Segment legen oder mit Firewall-Regeln einschränken.
• UDP-Port 8211 aus Segmenten blockieren, die die Controller nicht erreichen müssen.
• Diese Massnahmen reduzieren die Exposition, beheben die Schwachstelle aber nicht.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung ist keine aktive Ausnutzung bekannt.
• Kein öffentlicher Exploit-Code bekannt; VulDB meldet keinen verfügbaren Exploit.
• Laut einem Aggregator nicht im CISA-KEV-Katalog; direkt im Katalog prüfen.
• PAPI war wiederholt Ziel von Command-Injection-Schwachstellen.

Unsere Empfehlung

• Alle eingesetzten AOS-8-Controller und Access Points erfassen und ihre Versionen mit dem HPE-Advisory HPESBNW05162 vergleichen.
• Sobald die Korrekturversionen bestätigt sind, auf eine Version patchen, die das gesamte Bulletin abdeckt und nicht nur dieses CVE.
• Bis zum Patch UDP 8211 und Management-Zugriffe auf die nötigen Segmente beschränken.
• Auf unerwarteten PAPI-Verkehr und Änderungen auf den Controllern achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE Security Bulletin HPESBNW05162 support.hpe.com
• VulDB CVE-2026-79878 vuldb.com
• Offseq threat entry CVE-2026-79878 radar.offseq.com
• Strix CVE-2026-79878 www.strix.ai
• CCB Belgium advisory on HPE Aruba AOS ccb.belgium.be
• CyberExperts AOS wireless patches cyberexperts.com
• NHS Digital cyber alert CC-4571 (earlier PAPI flaw) digital.nhs.uk

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:53.