Kritische Schwachstellen in HPE Aruba AOS

Am 8. April 2025 hat Hewlett Packard Enterprise in einem Sicherheitsbulletin (HPESBNW04845 rev.1) mehrere schwerwiegende Schwachstellen in HPE Aruba Networking AOS-10 und AOS-8 bekanntgegeben. Die betroffenen Komponenten umfassen Mobility Conductors, Controller und Gateways, einschließlich WLAN- und SD-WAN-Gateways, die über Aruba Central verwaltet werden.

Die Sicherheitslücken, die unter anderem Remote Code Execution, Befehlsinjektionen, Dateizugriffe, XSS-Angriffe und Dateimanipulationen ermöglichen, wurden mit CVSS-Scores von bis zu 7.2 als „hoch“ eingestuft. Betroffen sind diverse Versionen, darunter AOS-10.7.1.0 und früher sowie AOS-8.12.0.3 und früher. Für Systeme, die sich außerhalb der Wartung befinden (EoM), stehen keine Patches zur Verfügung.

Zu den konkreten Schwachstellen zählen:

  • CVE-2025-27082 & -27083: Authentifizierte Angreifer können über die Weboberfläche beliebige Dateien schreiben und Befehle als privilegierte Nutzer ausführen.
  • CVE-2025-27084: Eine Cross-Site Scripting (XSS)-Lücke in der Captive Portal-Funktion ermöglicht das Ausführen von Schadcode im Browser.
  • CVE-2025-27085: Ermöglicht authentifizierten Angreifern das Herunterladen beliebiger Dateien vom System.

Einige Risiken können für AOS-10 durch das Sperren von TCP-Port 4343 auf der Management-IP gemindert werden, für AOS-8 gibt es keine Workarounds. Ein Exploit ist laut HPE derzeit nicht öffentlich bekannt.

Lösung: Betroffene Nutzer sollten umgehend auf folgende Versionen aktualisieren:

  • AOS-10.7.x.x: ab 10.7.1.1
  • AOS-10.4.x.x: ab 10.4.1.7
  • AOS-8.12.x.x: ab 8.12.0.4
  • AOS-8.10.x.x: ab 8.10.0.16

Die Patches sind im HPE Aruba Networking Support Portal verfügbar. Es wird dringend empfohlen, Systeme auf die neuesten unterstützten Versionen zu aktualisieren, um Risiken zu minimieren.

Tags :

Related Posts

OpenVPN Server Sicherheitslücke CVE-2025-2704

In OpenVPN-Servern der Versionen 2.6.1 bis 2.6.13, die mit aktiviertem tls-crypt-v2 betrieben werden, kann der Empfang einer speziellen Mischung aus gültigen und fehlerhaften Paketen während des tls-crypt-v2-Handshakes den internen Zustand des Clients beeinträchtigen. Dies führt dazu, dass ein Selbsttest fehlschlägt und der Serverprozess abrupt beendet wird, was letztlich zu einer Denial-of-Service-Situation führt. Der Exploit, der unter der Kennung CVE-2025-2704 geführt wird, kann von einem Angreifer ausgelöst werden, der entweder über einen gültigen tls-crypt-v2-Clientschlüssel verfügt oder in der Lage ist, manipulierte Pakete in den Netzwerkverkehr einzuspeisen. Dabei bleibt die kryptografische Integrität der Verbindung gewahrt, es kommt nicht zu Datenlecks oder einer Möglichkeit zur Remote-Code-Ausführung. Während nur die Serverkomponente mit tls-crypt-v2 betroffen ist, sind OpenVPN-Clients sowie Server der Versionen 2.4, 2.5 oder solche ohne diese Option nicht gefährdet. Zur Abwendung des Problems wird dringend empfohlen, auf eine sichere Version zu aktualisieren, den Netzwerkverkehr während der Handshake-Phase genau zu beobachten und den Schutz der Client-Schlüssel sicherzustellen. Weitere Details sind im offiziellen CVE-Eintrag zu finden.

Read More

FortiSwitch: Schwachstelle ermöglicht Passwortänderung ohne Authentifizierung

Am 8. April 2025 veröffentlichte Fortinet einen Sicherheitshinweis (FG-IR-24-435) zu einer schwerwiegenden Schwachstelle in der FortiSwitch-GUI (CVE-2024-48887). Die Lücke betrifft zahlreiche Versionen von FortiSwitch (6.4.0 bis 7.6.0) und erlaubt es einem unauthentifizierten, entfernten Angreifer, Admin-Passwörter über einen manipulierten Aufruf des set_password-Endpoints zu ändern – ohne vorherige Verifizierung.

Read More

CVE-2024-26013: fehlende Überprüfung von Zertifikatsnamen bei FGFM-Verbindungen bei Fortinet

Eine neu entdeckte Schwachstelle mit der Kennung CVE-2024-26013 und CVE-2024-50565 betrifft eine breite Produktpalette von Fortinet, darunter FortiOS, FortiProxy, FortiManager, FortiAnalyzer, FortiVoice und FortiWeb. Laut dem am 8. April 2025 veröffentlichten Fortinet-Sicherheitshinweis (FG-IR-24-046) besteht die Lücke in einer fehlenden Überprüfung von Zertifikatsnamen bei FGFM-Verbindungen (FortiGate-Fabric-Management).

Read More