Múltiples vulnerabilidades en ArubaOS

INTRODUCCIÓN:

Se han publicado nuevas vulnerabilidades del ArubaOS. La mayoría de ellas tienen una puntuación CVSS de 9,8 y nos centraremos en ellas.

Los CVE son: CVE-2023-22779, CVE-2023-22780, CVE-2023-22781, CVE-2023-22782, CVE-2023-22783, CVE-2023-22784, CVE-2023-22785, CVE-2023-22786.

ANÁLISIS:

CVE-2023-22779 - CVE-2023-22786 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - 9.8:

Las vulnerabilidades entre CVE-2023-22779 y CVE-2023-22786 comparten CVSS y descripción. Existen vulnerabilidades de desbordamiento de búfer en múltiples servicios subyacentes que podrían conducir a la ejecución remota de código no autenticado mediante el envío de paquetes especialmente diseñados destinados al puerto UDP (8211) de PAPI (protocolo de gestión de puntos de acceso de Aruba). La explotación exitosa de estas vulnerabilidades resulta en la capacidad de ejecutar código arbitrario como un usuario privilegiado en el sistema operativo subyacente.

VERSIONES AFECTADAS:

Puntos de acceso Aruba que ejecutan InstantOS y ArubaOS 10

• ArubaOS 10.3.x: 10.3.1.0 e inferiores
• Aruba InstantOS 8.10.x: 8.10.0.4 e inferior
• Aruba InstantOS 8.6.x: 8.6.0.19 e inferior
• Aruba InstantOS 6.5.x: 6.5.4.23 e inferior
• Aruba InstantOS 6.4.x: 6.4.4.8-4.2.4.20 e inferiores

Las siguientes versiones de software InstantOS que han llegado al final de su ciclo de vida
están afectadas por estas vulnerabilidades y no están parcheadas por este
aviso:

• InstantOS 8.9.x: todas
• InstantOS 8.8.x: todas
• InstantOS 8.7.x: todas
• InstantOS 8.5.x: todas
• InstantOS 8.4.x: todas

RECOMENDACIONES:

Tenga en cuenta que, debido a la estructura de estas vulnerabilidades específicas, Aruba sólo ha podido parchearlas en las siguientes ramas:

• ArubaOS 10.4.x: 10.4.0.0 y superior
• Aruba InstantOS 8.11.x: 8.11.0.0 y superior
• Aruba InstantOS 8.10.x: 8.10.0.3 y superior

Las ramas más antiguas y las ramas no nombradas específicamente no están parcheadas. Los clientes que no puedan actualizar deberán consultar la sección de soluciones alternativas

Solución temporal:

Habilitar cluster-security mediante el comando cluster-security evitará que las vulnerabilidades sean explotadas en dispositivos Aruba InstantOS que ejecuten código 8.x o 6.x. Para dispositivos ArubaOS 10 esto no es una opción y en su lugar el acceso al puerto UDP/8211 debe ser bloqueado desde todas las redes no confiables. Por favor contacte con el Soporte de Aruba para asistencia en la configuración.

REFERENCIAS:

https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2023-006.txt