Vulnerabilidades en ArubaOs 2023

En 2023 ArubaOs lanzó una serie de actualizaciones cruciales que incluyen parches de seguridad para abordar múltiples vulnerabilidades detectadas en versiones anteriores. Estas vulnerabilidades, podrían haber sido explotadas por atacantes remotos para comprometer la seguridad y la integridad de los sistemas y redes afectadas.

A lo largo de este artículo, exploraremos en detalle las principales vulnerabilidades descubiertas en ArubaOs durante el 2023 y recopilaremos algunas del último periodo del 2022. Cada una de estas vulnerabilidades presenta un riesgo potencial para la privacidad y seguridad de los distintos dispositivos de seguridad.

Vulnerabilidades en ArubaOs 11 de mayo 2023

Se han publicado nuevas vulnerabilidades del ArubaOS. La mayoría de ellas tienen una puntuación CVSS de 9,8 y nos centraremos en ellas.

Los CVE son: CVE-2023-22779, CVE-2023-22780, CVE-2023-22781, CVE-2023-22782, CVE-2023-22783, CVE-2023-22784, CVE-2023-22785, CVE-2023-22786.

ANÁLISIS

CVE-2023-22779 - CVE-2023-22786 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - 9.8:

Las vulnerabilidades entre CVE-2023-22779 y CVE-2023-22786 comparten CVSS y descripción. Existen vulnerabilidades de desbordamiento de búfer en múltiples servicios subyacentes que podrían conducir a la ejecución remota de código no autenticado mediante el envío de paquetes especialmente diseñados destinados al puerto UDP (8211) de PAPI (protocolo de gestión de puntos de acceso de Aruba). La explotación exitosa de estas vulnerabilidades resulta en la capacidad de ejecutar código arbitrario como un usuario privilegiado en el sistema operativo subyacente.

VERSIONES AFECTADAS

Puntos de acceso Aruba que ejecutan InstantOS y ArubaOS 10

• ArubaOS 10.3.x: 10.3.1.0 e inferiores
• Aruba InstantOS 8.10.x: 8.10.0.4 e inferior
• Aruba InstantOS 8.6.x: 8.6.0.19 e inferior
• Aruba InstantOS 6.5.x: 6.5.4.23 e inferior
• Aruba InstantOS 6.4.x: 6.4.4.8-4.2.4.20 e inferiores

Las siguientes versiones de software InstantOS que han llegado al final de su ciclo de vida
están afectadas por estas vulnerabilidades y no están parcheadas por este
aviso:

• InstantOS 8.9.x: todas
• InstantOS 8.8.x: todas
• InstantOS 8.7.x: todas
• InstantOS 8.5.x: todas
• InstantOS 8.4.x: todas

RECOMENDACIONES

Tenga en cuenta que, debido a la estructura de estas vulnerabilidades específicas, Aruba sólo ha podido parchearlas en las siguientes ramas:

• ArubaOS 10.4.x: 10.4.0.0 y superior
• Aruba InstantOS 8.11.x: 8.11.0.0 y superior
• Aruba InstantOS 8.10.x: 8.10.0.3 y superior

Las ramas más antiguas y las ramas no nombradas específicamente no están parcheadas. Los clientes que no puedan actualizar deberán consultar la sección de soluciones alternativas

Solución temporal:

Habilitar cluster-security mediante el comando cluster-security evitará que las vulnerabilidades sean explotadas en dispositivos Aruba InstantOS que ejecuten código 8.x o 6.x. Para dispositivos ArubaOS 10 esto no es una opción y en su lugar el acceso al puerto UDP/8211 debe ser bloqueado desde todas las redes no confiables. Por favor contacte con el Soporte de Aruba para asistencia en la configuración.

REFERENCIAS

https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2023-006.txt

Vulnerabilidades en ArubaOs 26 de octubre 2022

Aruba ha publicado parches para ArubaOS que abordan múltiples vulnerabilidades de seguridad. Una de ellas es crítica, esta vulnerabilidad fue descubierta y reportada por Erik de Jong (bugcrowd.com/erikdejong) a través del programa Bug Bounty de Aruba.

ANÁLISIS

Hay 16 vulnerabilidades confirmadas, sólo una de ellas tiene un impacto crítico.

Existe una vulnerabilidad de inyección de comandos (CVE-2022-37897) que podría conducir a la ejecución remota de código sin autenticación mediante el envío de paquetes especialmente diseñados destinados al puerto UDP de PAPI (protocolo de gestión de AP de Aruba Networks) (8211). La explotación exitosa de esta vulnerabilidad resulta en la capacidad de ejecutar código arbitrario como un usuario privilegiado en el sistema operativo subyacente. Puntuación general de CVSSv3: 9,8

VERSIONES AFECTADAS

• ArubaOS 6.5.4.22 y anteriores
• ArubaOS 8.6.0.17 y anteriores
• ArubaOS 8.7.1.9 y anteriores
• ArubaOS 10.3.0.0
• SD-WAN 8.7.0.0-2.3.0.6 y anteriores

RECOMENDACIONES

Para minimizar la probabilidad de que un atacante explote estas vulnerabilidades, Aruba recomienda que la comunicación entre el Controlador/Gateways y los Access-Points se restrinja teniendo un segmento/VLAN de capa 2 dedicado o, si el Controlador/Gateways y los Access-Points cruzan los límites de la capa 3, tener políticas de firewall que restrinjan la comunicación de estos dispositivos autorizados.

Además, la activación de la función de seguridad mejorada de PAPI evitará que se exploten las vulnerabilidades específicas de PAPI mencionadas anteriormente. Contacte con el Soporte de Aruba para obtener asistencia en la configuración.

Además, actualice Mobility Controllers y Gateways a una de las siguientes versiones de ArubaOS:

• ArubaOS 6.5.4.23 y superiores
• ArubaOS 8.6.0.18 y superiores
• ArubaOS 8.7.1.10 y superiores
• ArubaOS 8.10.0.0 y superiores
• ArubaOS 10.3.0.1 y superiores
• SD-WAN 8.7.0.0-2.3.0.7 y superiores

REFERENCIAS

https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2022-016.txt