HPE ArubaOS 8: Command Injection über PAPI-Protokoll ohne Authentifizierung
Zusammenfassung
Command-Injection-Schwachstellen in HPE ArubaOS 8 (AOS-8) erlauben einem nicht authentifizierten Angreifer aus der Ferne, durch speziell präparierte PAPI-Pakete beliebigen Code auszuführen. Der Angreifer würde Code als privilegierter Benutzer auf dem zugrunde liegenden Betriebssystem ausführen können. Der Angriffsweg ist das PAPI-Protokoll (UDP-Port 8211), weshalb das Risiko dort am höchsten ist, wo dieser Port aus unvertrauenswürdigen Netzen erreichbar ist.
Betroffen
- AOS-8 8.13.0.0 bis 8.13.3.0
- AOS-8 8.10.0.0 bis 8.10.0.23
- Status des 8.12-Zweigs: ungeklärt, bei HPE überprüfen
- AOS-10 ist gemäss den verfügbaren Informationen von dieser CVE nicht betroffen
Behoben in
- AOS-8 8.13.3.1 oder neuer
- AOS-8 8.10.0.24 oder neuer
- Versionen für den 8.12-Zweig: unbekannt, bei HPE bestätigen
Umgehung
- Keine herstellerseitige Workaround-Massnahme speziell für diese CVE bekannt.
- Allgemeine Empfehlung von HPE: Kommandozeilen- und Web-Management-Schnittstellen auf ein dediziertes Layer-2-Segment oder VLAN beschränken, Firewall-Kontrollen auf Layer 3 anwenden und Accounting-Kontrollen aktivieren.
- UDP-Port 8211 (PAPI) bis zum Patch auf bekannte Access Points und Management-Hosts beschränken (Empfehlung, nicht von HPE für diese CVE genannt).
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Gemäss einer Sekundärquelle bis 24. Okt. 2026 nicht im CISA-KEV-Katalog aufgeführt (erneut prüfen).
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Alle AOS-8-Controller, Gateways und Instant Access Points inventarisieren und die Build-Nummern erfassen.
- Auf AOS-8 8.13.3.1 oder 8.10.0.24 oder neuer aktualisieren; Systeme im 8.12-Zweig separat planen und die Behebung bei HPE bestätigen.
- Bis zum Patch UDP-Port 8211 und Management-Schnittstellen nur für vertrauenswürdige Hosts zulassen.
- Sicherstellen, dass Controller und der PAPI-Port nicht aus dem Internet erreichbar sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- HPE Security Bulletin HPESBNW05162 support.hpe.com
- VulDB entry 425527 vuldb.com
- VulDB CVE-2026-79890 vuldb.com
- Cyberpress: Critical HPE Aruba AOS-8 vulnerability cyberpress.org
- Rescana: HPE Aruba AOS advisory update www.rescana.com
- Cybaverse: HPE Aruba AOS critical flaws www.cybaverse.co.uk
- Cyberexperts: Aruba AOS wireless patches cyberexperts.com
- Offseq radar: CVE-2026-79890 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:05.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.