HPE AOS-10: Command Injection im PAPI-Protokoll ohne Authentifizierung

Zusammenfassung

Eine Command-Injection-Schwachstelle im PAPI-Protokoll von HPE ArubaOS 10 (AOS-10) erlaubt einem benachbarten Angreifer, ohne Authentifizierung manipulierte Pakete zu senden. Bei erfolgreicher Ausnutzung kann ein Angreifer Remote Code Execution als privilegierter Benutzer auf dem zugrunde liegenden Betriebssystem erreichen. Der NVD-Eintrag nennt CVSS 8.3, der Vektor unterscheidet sich jedoch zwischen den Quellen und muss überprüft werden.

Betroffen

• AOS-10.8.0.0 bis 10.8.1.1
• AOS-10.7.0.0 bis 10.7.2.6
• AOS-10.4.0.0 bis 10.4.1.13
• Gemäss den Herstellerangaben ist die Standardkonfiguration betroffen.

Behoben in

• AOS-10.8.1.2
• AOS-10.7.2.7
• AOS-10.4.1.14
• Die Produkttabelle im HPE-Advisory HPESBNW05162 vor dem Rollout prüfen, da die Zuordnung pro CVE nicht anhand des vollständigen Advisory-Texts bestätigt werden konnte.

Umgehung

• Allgemeine Empfehlung von HPE: Die Management-Oberflächen für CLI und Webzugriff in ein dediziertes VLAN oder Layer-2-Segment legen oder mit Firewall-Regeln einschränken und Accounting aktivieren.
• Im Text von HPE wurde kein PAPI-spezifischer Workaround gefunden.
• Drittanbieter-Empfehlung (nicht von HPE): UDP-Port 8211 (PAPI) aus Netzwerksegmenten blockieren, die keinen Zugriff auf die Controller benötigen.
• PAPI von Gäste- und anderen nicht vertrauenswürdigen Netzwerksegmenten fernhalten.

Ausnutzung

• HPE ist zum Veröffentlichungsdatum des Advisory keine öffentliche Diskussion oder kein Exploit-Code bekannt, der auf die aufgeführten Schwachstellen abzielt.
• Es wurde keine Ausnutzung in freier Wildbahn gemeldet.
• Laut einer Sekundärquelle ist die CVE nicht im CISA-KEV-Katalog enthalten; dies wurde nicht direkt überprüft.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Alle Aruba-Controller, Gateways und Access Points inventarisieren und pro Gerät festhalten, ob AOS-8 oder AOS-10 läuft und welche genaue Version installiert ist.
• AOS-10-Geräte auf 10.8.1.2, 10.7.2.7 oder 10.4.1.14 oder eine neuere Version im gleichen Zweig aktualisieren.
• Bis zum Update UDP-Port 8211 blockieren und Management-Oberflächen auf ein Management-VLAN beschränken.
• Intern testen, ob PAPI aus Gäste- oder Benutzernetzwerken erreichbar ist.
• Vektor und Produktzuordnung im HPE-Advisory sowie im NVD-Eintrag verifizieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE Security Bulletin HPESBNW05162 support.hpe.com
• Cyberexperts: Aruba AOS wireless patches cyberexperts.com
• Carthage Electronics: CVE threat brief carthageelectronics.com
• Brandefense: CVE-2026-79844 knowledge hub brandefense.io
• Rescana: HPE Aruba AOS critical October 2026 www.rescana.com
• Cybaverse: HPE Aruba AOS critical flaws www.cybaverse.co.uk
• Vulners: PT-2026-121621 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:21.