Aruba-Controller und -Gateways mit hochriskanten Sicherheitslücken

Aruba hat aktualisierte Firmwares für Controller und Gateways der 9000er- und 9200er-Baureihen veröffentlicht. Darin schließt der Hersteller mehrere als hochriskant eingestufte Sicherheitslücken.

Die Aruba-Mitarbeiter erläutern in ihrer Sicherheitsmeldung, dass die BIOS-Implementierungen der genannten Baureihen von mehreren Pufferüberläufen geplagt sind. "Schwachstellen in der BIOS-Implementierung der Aruba-9200- und 9000-Baureihen an Controllern und Gateways können Angreifern erlauben, beliebigen Code früh in der Boot-Sequenz einzuschleusen und auszuführen. Das können sie ausnutzen, um Zugriff zu erlangen und sensible zugrundeliegende Informationen zu verändern, was in einer vollständigen Kompromittierung der Maschine mündet", erläutert der Hersteller (CVE-2023-38484+CVE-2023-38485, CVSS 8.0, Risiko "hoch").

Aruba-Lücken: Verkettungen mit anderen Schwachstellen nötig

Der Hersteller weist darauf hin, dass zum Ausnutzen dieser Lücke zuvor eine andere missbraucht werden müsse, da Angreifer dafür Root-Rechte benötigten. Das treffe auch für eine weitere Sicherheitslücke zu, die bösartigen Akteuren das Umgehen von Sicherheitsmaßnahmen erlaubt, die eigentlich die Ausführung von unsigniertem Kernel-Abbildern unterbinden sollen. Durch das Umgehen der Root-of-Trust in der Secure-Boot-Implementierung könnten Angreifer beliebige Betriebssysteme starten, einschließlich nicht verifizierter und unsignierter Betriebssystemabbilder (CVE-2023-38486, CVSS 7.7, hoch).

Die Schwachstellen bessern die aktualisierten Firmware-Versionen mit ArubaOS 10.4.0.2, 8.11.1.1, 8.10.0.7 sowie 8.6.0.22 und jeweils neuere aus. Der Hersteller hat zum aktuellen Zeitpunkt keine Kenntnis davon, dass die Lücken bereits missbraucht würden. Betroffen sind die Geräte HPE Aruba Networking 9200 Serie Mobility Controllers und SD-WAN Gateways sowie die 9000er-Serie. Auch ältere Versionen sind betroffen. Für die gibt es jedoch keine Aktualisierungen mehr, da sie am End-of-Life angekommen seien: ArubaOS 10.3.x.x, 8.9.x.x, 8.8.x.x, 8.7.x.x, 6.5.4.x, SD-WAN 8.7.0.0-2.3.0.x und 8.6.0.4-2.2.x.x.

In der vergangenen Woche hat Aruba Schwachstellen in Switches geschlossen. Angreifer hätten durch die Lücken Schadcode einschleusen können.

(dmk)