TLP:CLEAR PAP:WHITE
Aviso de seguridad de productos de red HPE Aruba
Descripción
HPE Aruba Networking ha lanzado parches para ArubaOS que abordan múltiples vulnerabilidades de seguridad.
- Stored Cross-Site Scripting (XSS) almacenado no autentificado en ArubaOS Web-based Management Interface (CVE-2023-35971).
- Ejecución de comandos remotos autenticados basado en ArubaOS Web-based Management Interface (CVE-2023-35972).
- Ejecución de comandos remotos autenticados en ArubaOS Command Line Interface (CVE-2023-35973, CVE-2023-35974).
- Path Traversal autenticada en ArubaOS Command Line Interface permite la eliminación arbitraria de archivos (CVE-2023-35975).
- Divulgación de información confidencial autenticada en ArubaOS Command Line Interface (CVE-2023-35976, CVE-2023-35977).
- Reflected Cross-Site Scripting (XSS) en ArubaOS Web-based Management Interface (CVE-2023-35978).
- Vulnerabilidad de Buffer Overflow no autenticada en ArubaOS Web-Based Management Interface (CVE-2023-35979).
Productos afectados
- Productos HPE Aruba Networking:
- Mobility Conductor (formerly Mobility Master)
- Mobility Controllers
- WLAN Gateways and SD-WAN Gateways managed by Aruba Central
- Versiones afectadas:
- Para ArubaOS 10.4.x.x: 10.4.0.1 y anteriores
- Para ArubaOS 8.11.x.x: 8.11.1.0 y anteriores
- Para ArubaOS 8.10.x.x: 8.10.0.6 y anteriores
- Para ArubaOS 8.6.x.x: 8.6.0.20 y anteriores
- Las siguientes versiones de software de ArubaOS y SD-WAN que han finalizado el soporte se ven afectadas por estas vulnerabilidades y no están parcheadas por este aviso:
- ArubaOS 8.9.x.x: todas
- ArubaOS 8.8.x.x: todas
- ArubaOS 8.7.x.x: todas
- ArubaOS 6.5.4.x: todas
- SD-WAN 8.7.0.0-2.3.0.x: todas
- SD-WAN 8.6.0.4-2.2.x.x: todas
Riesgo
Alto
Soluciones
Actualice los controladores de movilidad, los conductores de movilidad y las puertas de enlace para una de las siguientes versiones de ArubaOS (según corresponda) para resolver todas las vulnerabilidades:
Para minimizar la probabilidad de que un atacante explote estas vulnerabilidades, HPE Aruba Networking recomienda que la CLI y las interfaces de administración basadas en la web estén restringidas a un segmento de capa 2/VLAN y/o controlado por políticas de firewall en capa 3 y superior. Para Aruba OS 8.6.x.x: 8.6.0.21 y superior
- Para ArubaOS 10.4.x.x: 10.4.0.2 y superior
- Para Aruba OS 8.11.x.x: 8.11.1.1 y superior
- Para ArubaOS 8.10.x.x: 8.10.0.7 y superior
Para minimizar la probabilidad de que un atacante explote estas vulnerabilidades, HPE Aruba Networking recomienda que la CLI y las interfaces de administración basadas en la web estén restringidas a un segmento de capa 2/VLAN y/o controlado por políticas de firewall en capa 3 y superior. Para Aruba OS 8.6.x.x: 8.6.0.21 y superior
Referencias
Contacto
Para más información, cualquier otra incidencia o problema de seguridad, puede ponerse en contacto a través de nuestra dirección de correo csirt@seresco.es