HPE AOS-8: Authentifizierungsumgehung im Webinterface ermöglicht Remote Code Execution

Zusammenfassung

Die HPE ArubaOS AOS-8 Controller und Gateways enthalten eine Schwachstelle im Webinterface, die einem nicht authentifizierten Angreifer aus der Ferne die Ausführung von Code auf dem Gerät erlaubt. Bei erfolgreicher Ausnutzung könnte der Angreifer die vollständige Kontrolle über das Gerät erlangen, Netzwerkverkehr abfangen und einen Zugang zu angeschlossenen Systemen erhalten. Der CVSS-Wert von 8.1 spiegelt eine hohe Angriffskomplexität wider; laut CVE-Eintrag ist jedoch keine Authentifizierung erforderlich.

Betroffen

• ArubaOS AOS-8 8.13.0.0 bis 8.13.3.0 (laut Sekundärberichterstattung zum HPE-Advisory)
• ArubaOS AOS-8 8.10.0.0 bis 8.10.0.23 (laut Sekundärberichterstattung zum HPE-Advisory)
• Abweichung: Eine Datenbank nennt zusätzlich 8.12.x; dies ist nicht bestätigt. Das HPE-Advisory prüfen.
• Nicht mehr unterstützte Zweige: Die Exposition wurde nicht bewertet.

Behoben in

• AOS-8 8.13.3.1
• AOS-8 8.10.0.24
• Spätere Versionen mit dem Fix (laut Sekundärberichterstattung; gegen das HPE-Advisory prüfen)

Umgehung

• Die Verwaltungsschnittstellen für Web und CLI auf ein dediziertes Layer-2-Segment oder VLAN beschränken.
• Firewall-Kontrollen auf Layer 3 und höher anwenden und den Internetzugriff auf die Verwaltungsschnittstellen blockieren.
• Accounting-Kontrollen aktivieren, um Benutzeraktivitäten und Ressourcennutzung nachzuverfolgen.

Ausnutzung

• Laut HPE gibt es keine Hinweise auf eine Ausnutzung in freier Wildbahn (Sekundärquelle).
• Kein öffentlicher Proof-of-Concept oder Exploit-Code bekannt.
• Nicht im CISA-KEV-Katalog aufgeführt; EPSS 0.00000; CISA-SSVC-Ausnutzung: keine, automatisierbar: nein, technische Auswirkung: total.

Unsere Empfehlung

• Gerätemodell, AOS-8-Zweig und genaue Build-Version anhand des HPE-Advisory HPESBNW05162 bestätigen.
• Auf AOS-8 8.13.3.1 oder 8.10.0.24 (oder neuer) bzw. auf die korrigierte Version des eigenen Zweigs aktualisieren.
• Bis zur Aktualisierung die Web- und CLI-Schnittstellen auf ein Management-VLAN beschränken und den Internetzugriff darauf blockieren (bei AOS-8-Controllern typischerweise HTTPS-Port 4343).
• Protokolle auf unerwartete Anmeldungen oder Konfigurationsänderungen prüfen, insbesondere für die Zeit vor der Aktualisierung.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE Security Bulletin HPESBNW05162 support.hpe.com
• Cyberpress: Critical HPE Aruba AOS-8 vulnerability cyberpress.org
• Rescana: HPE Aruba AOS analysis www.rescana.com
• TechBytes: HPE patches AOS RCE and auth bypass techbytes.app
• Safeguard.sh: HPE Aruba AOS-8/AOS-10 vulnerabilities safeguard.sh
• Offseq CVE record CVE-2026-79887 radar.offseq.com
• VulDB CVE-2026-79887 vuldb.com
• Vulners CNNVD-2026-81838460 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:03.