11月5日HPE Aruba Networking發布資安公告,修補旗下無線基地臺一系列的漏洞,並指出其中的CVE-2024-42509、CVE-2024-47460為重大層級特別危險。
這兩個漏洞皆涉及基地臺管理協定(PAPI)存取的命令列介面(CLI)服務,一旦成功利用,攻擊者可在未經身分驗證的情況下,發動命令注入攻擊,CVSS風險評為9.8、9.0,影響執行Instant AOS-8及AOS-10的無線基地臺,至於Mobility Conductor、Mobility Controllers、SD-WAN閘道設備則不受影響。
再者,兩者都是命令注入漏洞,位於CLI服務,攻擊者只要對PAPI使用的UDP連接埠(8211埠)發送特製封包,就能以高權限使用者的身分任意執行程式碼。
從公告的內容來看,漏洞的發生原因、造成的影響,HPE都採用一模一樣的敘述,但兩者的評分卻有所落差。發生這種現象的原因,也許可以從漏洞的危險程度評估看出瑞倪,CVE-2024-42509遭濫用的複雜度較低(AC:L),導致此漏洞的風險評分高於CVE-2024-47460。
若是無法套用更新,該公司也提供臨時緩解措施。對於執行Instant AOS-8作業系統的裝置,IT人員可透過下達cluster-security命令,啟用Cluster Security保護設定;而針對搭載AOS-10的裝置,則是應該管制8211埠,封鎖所有不受信任網域的存取行為。
熱門新聞
2024-12-10
2024-12-08
2024-12-10
2024-12-10
2024-12-10
2024-11-29