Übernahme möglich: Sicherheitslücken in Switches der HPE-Tochter Aruba

Der Netzwerkausrüster Aruba, eine Hewlett-Packard-Enterprise-Tochter, warnt vor mehreren Sicherheitslücken in der Firmware AOS-CX der kabelgebundenen Switches des Unternehmens. Angemeldete Nutzer könnten dadurch etwa Code mit erhöhten Rechten ausführen und die vollständige Kontrolle über ein betroffenes Gerät erlangen.

Eingeschleuste Befehle

An der Kommandozeile könnten authentifizierte Angreifer durch Schwachstellen Befehle einschmuggeln, die mit höheren Privilegien im Betriebssystem ausgeführt werden und dieses dabei vollständig kompromittieren (CVE-2021-41000, CVSS 8.8, Risiko hoch). Beim Diffie-Hellmann-Schlüsseltausch könnten Angreifer einen Denial-of-Service auslösen, da eine sogenannte D(HE)ater-Attacke möglich ist – manipulierte übergebene Werte führen dabei zu exzessiven Berechnungen und in Folge zu lahmgelegten Geräten (CVE-2002-20001, CVSS 7.5, hoch).

Durch eine weitere Lücke könnten authentifizierte Angreifer unbefugt auf Informationen im Klartext der Web-basierten Verwaltung der Switches zugreifen und so weitere Netzwerkinfrastruktur offenlegen, was zur weiteren Kompromittierung führen könnte (CVE-2021-3712, CVSS 7.4, hoch). Weiterhin könnten angemeldete Nutzer mit manipulierten Skripten für die Network Analytics Engine (NAE) beliebige Befehle im Betriebssystem ausführen und so den Switch vollständig unter Kontrolle bringen (CVE-2021-41001, CVSS 7.2, hoch).

Unauthentifizierte Angreifer könnten Cross-Site-Scripting-Lücken missbrauchen, um Nutzern beliebigen Code unterzuschieben, der im Webbrowser ausgeführt wird (CVE-2021-41003, CVSS 6.1, mittel). Zudem könnten private Schlüssel für X.509-Zertifkate aufgrund von Schwachstellen wiederhergestellt werden (mehrere CVEs, CVSS 5.9, mittel). Die letzte beschriebene Lücke betrifft die Kommandozeile, die durch eine Path-Traversal-Schwachstelle die Integrität von kritischen Systemdateien gefährdet. Angreifer könnten die Switches außer Funktion setzen oder sensible Informationen verändern (CVE-2021-41002, CVSS 5.5, mittel).

Betroffene Versionen

Die Schwachstellen betreffen laut Sicherheitsmeldung die Aruba-Switches 4100i, 6100, 6200, 6300, 6400, 8320, 8325, 8360 und 8400. Die anfälligen Firmware-Versionen sind 10.06.0170, 10.07.0050, 10.08.1030 und 10.09.0002 sowie die älteren Fassungen davor. Aruba weist darauf hin, dass die Fehler auch in den nicht mehr unterstützten 10.05-er und älteren Firmware-Versionen enthalten sein könnten, dies aber nicht geprüft wurde.

Die Lücken sind in den Firmware-Versionen 10.06.0180, 10.07.0061, 10.08.1040 sowie 10.09.0010 und neueren geschlossen. Sollte noch AOS-CX 10.05.xxxx oder ältere Firmware laufen, empfiehlt Aruba die Aktualisierung auf mindestens Version 10.06.0180. IT-Verantwortliche sollten auf den ihnen bekannten Wegen die bereitstehenden Firmware-Updates herunterladen und zeitnah auf die Switches aufspielen.

Lesen Sie auch:

Thema Switches auf heise online

(dmk)