ArubaOS 8: Pufferüberlauf im PAPI-Protokoll führt zu Denial of Service

Zusammenfassung

Ein Pufferüberlauf im PAPI-Verwaltungsprotokoll von ArubaOS 8 betrifft Aruba Mobility Controller und verwandte Geräte. Ein nicht authentifizierter Angreifer aus dem Netz kann über präparierten Datenverkehr an PAPI (UDP-Port 8211) die Verfügbarkeit des Dienstes auf dem Controller stören, mit begrenzten Auswirkungen auf die Integrität. Der Hersteller behandelt die Lücke als Denial-of-Service-Schwachstelle; der CVSS-Wert beträgt laut NVD/CNA-Eintrag 8.2 (hoch), laut VulDB 6.5.

Betroffen

• ArubaOS 8.13.0.0 bis 8.13.3.0 (gemäss CNA-Eintrag)
• ArubaOS 8.10.0.0 bis 8.10.0.23 (gemäss CNA-Eintrag)
• Ungeklärt: Der Zweig 8.12 erscheint in Drittquellen, aber nicht in den geprüften Auszügen des HPE-Bulletins. In der Tabelle des Bulletins prüfen.
• Andere Zweige (zum Beispiel 10.x) sind gemäss den geprüften Einträgen nicht betroffen; im Bulletin prüfen.

Behoben in

• ArubaOS 8.13.3.1 (gemäss Sekundärquellen; im HPE-Bulletin prüfen)
• ArubaOS 8.10.0.24 (gemäss Sekundärquellen; im HPE-Bulletin prüfen)
• Systeme im Zweig 8.12.x haben laut einer Sekundärquelle kein eigenes Fix; auf einen behobenen Release-Zweig wechseln.

Umgehung

• In den geprüften Quellen ist kein CVE-spezifischer Workaround dokumentiert.
• Empfohlene Übergangsmassnahme: Zugriff auf PAPI (UDP 8211) auf die Netze der Access Points und Controller beschränken und aus dem Internet sowie aus Gast-Netzen blockieren.
• Management-Schnittstellen einschränken, wie vom Hersteller für dieses Bulletin empfohlen.

Ausnutzung

• Gemäss Hersteller ist keine Ausnutzung in freier Wildbahn bekannt.
• Nicht im CISA-KEV-Katalog aufgeführt (geprüft am 24. Oktober 2026).
• Kein öffentlicher Proof-of-Concept bekannt.
• Eine Drittquelle schätzt den Marktwert eines Exploits auf USD 5'000 bis 25'000; dies ist kein Nachweis einer Ausnutzung.

Unsere Empfehlung

• Alle ArubaOS-8-Controller inventarisieren und deren Versionen mit dem HPE-Bulletin HPESBNW05162 abgleichen.
• Systeme im Zweig 8.10.x auf 8.10.0.24 und Systeme im Zweig 8.13.x auf 8.13.3.1 patchen, idealerweise in einem Zyklus, da die Fixversionen das ganze Bulletin abdecken.
• Für Systeme im Zweig 8.12.x und ältere einen geplanten Wechsel auf einen unterstützten Release-Zweig vorsehen.
• Bis zum Patch UDP 8211 einschränken und mit Firewall-Tests überprüfen, dass der Port aus unvertrauenswürdigen Netzen nicht erreichbar ist.
• Verfügbarkeit der Controller und Logs auf PAPI-bezogene Störungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE Security Bulletin HPESBNW05162 support.hpe.com
• VulDB entry 425475 vuldb.com
• Carthage Electronics threat brief (fixed versions) carthageelectronics.com
• Brandefense advisory summary brandefense.io
• Safeguard analysis of the HPE Aruba AOS bulletin safeguard.sh
• Cybaverse: HPE Aruba AOS critical flaws www.cybaverse.co.uk
• pwn.watch: HPE Aruba AOS critical RCE October 2026 pwn.watch

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:10.