Sicherheitslücken: Netzwerk-Controller und -Gateways von Aruba sind verwundbar
Angreifer können Netzwerkgeräte von HPE Aruba attackieren und im schlimmsten Fall Appliances kompromittieren.
(Bild: Alfa Photo/Shutterstock.com)
Mehrere Sicherheitslücken im Netzwerkbetriebssystem ArubaOS (AOS) gefährden Netzwerk-Controller und -Gateways. Es kann zur Ausführung von Schadcode kommen.
Die Schwachstellen
Darauf weist HPE Aruba in einer Warnmeldung hin. Davon sind Mobility Conductor (ehemals Mobility Master), Mobility Controllers, SD-WAN- und WLAN-Gateways mit den AOS-Versionen bis einschließlich 8.10.0.13, 8.12.0.1 und 10.6.0.2 betroffen. AOS 10.4.x.x soll davon nicht bedroht sein. In der Warnmeldung sind noch weitere Versionsstränge aufgelistet, für die der Support ausgelaufen ist. Diese Ausgaben bekommen keine Sicherheitsupdates mehr und bleiben angreifbar. An diese Stelle müssen Admins ein Upgrade vornehmen.
Insgesamt haben die Entwickler eigenen Angaben zufolge drei Sicherheitslücken (CVE-2024-42501, CVE-2024-42502, CVE-2024-42503) mit dem Bedrohungsgrad "hoch" geschlossen. In allen Fällen können Angreifer in AOS eigene Befehle oder sogar Schadcode ausführen. In solchen Fällen ist davon auszugehen, dass Angreifer die volle Kontrolle über Appliances erlangen.
Netzwerkgeräte absichern
HPE Aruba versichert, die Lücken in den AOS-Ausgaben 8.10.0.14, 8.12.0.2, 10.6.0.3 und 10.7.0.0 geschlossen zu haben. Ob es bereits Attacken gibt, führt der Netzwerkausrüster derzeit nicht aus. Unklar bleibt auch, wie Admins bereits attackierte Systeme erkennen können.
Um Netzwerk-Controller allgemein effektiver vor Attacken zu schützen, sollten Admins den Zugriff auf das Management-Interface einschränken und besser nicht von außen erreichbar machen. Hier helfen unter anderem Firewall-Regeln. Ist der Zugriff über das Internet unabdingbar, sollte eine verschlüsselte VPN-Verbindung mit starken Passwörtern und Multi-Faktor-Authentifizierung genutzt werden.
(des)
