HPE ArubaOS AOS-8: Nicht authentifizierter Buffer Overflow im Web-Interface

Zusammenfassung

Mehrere Web-Interface-Endpunkte von HPE ArubaOS AOS-8 Geräten enthalten Buffer Overflows, die von nicht authentifizierten Angreifern aus der Ferne mit speziell präparierten Anfragen ausgelöst werden können. Bei erfolgreicher Ausnutzung kann ein Angreifer beliebige Befehle auf dem zugrunde liegenden Betriebssystem ausführen und das Gerät vollständig kompromittieren. Die Angriffskomplexität wird als hoch eingestuft; die Schwachstelle ist vor allem relevant, wenn das Web-Management-Interface aus unvertrauenswürdigen Netzen erreichbar ist.

Betroffen

• AOS-8.13.0.0 bis 8.13.3.0
• AOS-8.10.0.0 bis 8.10.0.23
• AOS-8.12.x: bis zur Bestätigung durch HPE als betroffen behandelt
• AOS-10: laut CVE-spezifischen Quellen nicht betroffen

Behoben in

• AOS-8.13.x: 8.13.3.1 oder neuer
• AOS-8.10.x: 8.10.0.24 oder neuer
• AOS-8.12.x: kein Fix verfügbar; auf einen unterstützten Fix-Zweig wechseln (8.13.3.1 oder neuer)

Hinweis: Die genaue Fix-Tabelle pro CVE ist noch nicht gegen die HPE-Advisory HPESBNW05162 geprüft.

Umgehung

• Kein CVE-spezifischer Workaround veröffentlicht.
• Zugriff auf Web- und CLI-Management auf ein dediziertes Management-VLAN oder über Firewall-Regeln beschränken.
• Web-Management-Interface nicht aus dem Internet erreichbar machen.
• Administrative Aktivitäten protokollieren.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• Nicht im CISA-KEV-Katalog aufgeführt (geprüft am 24. Oktober 2026).
• HPE kennt keinen öffentlichen Exploit-Code; in den Recherchen wurde kein öffentlicher PoC gefunden, was aber nicht beweist, dass keiner existiert.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Alle AOS-8 Controller, Conductors und Instant Access Points inventarisieren und die genauen Versionen erfassen (zum Beispiel mit show version).
• Web- und CLI-Management jetzt auf ein Management-VLAN oder eine Firewall-Regel beschränken und sicherstellen, dass nichts aus dem Internet weitergeleitet wird.
• 8.13.x Geräte auf 8.13.3.1 oder neuer und 8.10.x Geräte auf 8.10.0.24 oder neuer aktualisieren; 8.12 Geräte auf einen unterstützten Fix-Zweig migrieren.
• Logs der Management-Schnittstelle seit dem 22. Oktober 2026 auf ungewöhnliche Anfragen prüfen.
• Angaben gegen die HPE-Advisory HPESBNW05162 verifizieren und NVD prüfen, sobald die Analyse abgeschlossen ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE Security Bulletin HPESBNW05162 support.hpe.com
• CVE record details (threatint) cve.threatint.com
• Brandefense vulnerability summary brandefense.io
• Carthage Electronics threat brief carthageelectronics.com
• Cybaverse AOS critical flaws www.cybaverse.co.uk
• Rescana AOS advisory summary www.rescana.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:04.