Access Points von Aruba verwundbar – keine Updates für ältere Versionen
Aufgrund von mehreren Sicherheitslücken in ArubaOS und InstantOS sind Schadcode-Attacken auf Aruba-Geräte möglich.
(Bild: Shutterstock)
Admins von Aruba-Access-Points sollten sicherstellen, dass sie noch im Support befindliche Betriebssystemversionen installiert haben. Insgesamt haben die Entwickler sechs "kritische" Sicherheitslücken in noch unterstützten Versionen von ArubaOS und InstantOS geschlossen.
Remote Code Execution
Aus einer Warnmeldung geht hervor, dass insgesamt 18 Sicherheitslücken geschlossen wurden. Darunter sind mehrere Schwachstellen, über die Angreifer Schadcode auf Geräte schieben und ausführen können.
Entfernte Angreifer können unter anderem mit präparierten UDP-Pakten am Central Communication Service ansetzen (CVE-2024-31471 "kritisch") und so das System über Schadcode kompromittieren.
Weitere Gefahren
Die verbleibenden Sicherheitslücken sind mit "hoch" und "mittel" eingestuft. An diesen Stellen sind unter anderem unbefugte Zugriffe auf Dateien vorstellbar. Aruba erläutert, die Sicherheitsprobleme in den folgenden Versionen gelöst zu haben:
- ArubaOS 10.4.1.1
- ArubaOS 10.5.1.1
- ArubaOS 10.6.0.0
- InstantOS 8.6.0.24
- InstantOS 8.10.0.11
- InstantOS 8.11.2.2
- InstantOS 8.12.0.0
Alle vorigen Ausgaben sind verwundbar. Aruba weist ausdrücklich darauf hin, dass es für nicht mehr im Support befindliche Versionen (End of life, EOL) keine Sicherheitsupdates mehr gibt. Darunter fallen neuerdings auch ArubaOS 10.5.x.x und InstantOS 8.11.x.x. Wer Access Points mit diesen Ausgaben nutzt, muss ein Upgrade durchführen, um weiterhin Sicherheitspatches zu bekommen.
Es ist wichtig, dass Admins EOL-Versionen auf dem Schirm haben, damit nicht doch noch irgendwo im Netzwerk ein Gerät mit unsicherer Software seinen Dienst tut und so eine Angriffsfläche bietet. Das gilt natürlich herstellerübergreifend und nicht nur für Aruba-Geräte.
(des)
