聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
这两个漏洞可导致远程攻击者通过将特殊构造的数据包经由 UDP 端口8211发送到 Aruba 的访问点管理协议 (PAPI)，执行未认证命令注入。这两个漏洞位于通过 PAPI 协议访问的命令行接口 (CLI) 服务中。
该更新还修复了另外四个安全漏洞：
CVE-2024-47461（CVSS评分7.2）：认证远程命令执行漏洞，可导致攻击者在底层操作系统上执行任意命令。
CVE-2024-47462和CVE-2024-47463（CVSS评分7.2）：认证攻击者可创建任意文件，可能导致远程命令执行后果。
CVE-2024-47464（CVSS评分6.8）：认证攻击者可利用该漏洞通过路径遍历漏洞访问越权文件。
所有这柳哥漏洞影响 AOS-10.4.x.x:10.4.1.4和更老旧版本、Instant AOS-8.12.x.x:8.12.0.2及以下版本以及 Instant AOS-8.10.x.x:8.10.0.13及老旧版本。
慧与公司在安全公告中提到，该软件的更多版本已到达维护最后期限，如也受影响则不会收到安全更新。
为了修复 Aruba Networking Access Points 中的漏洞，慧与公司建议用户将设备更新到如下软件版本或更新版本：
AOS-10.7.x.x: 更新至10.7.0.0 及后续版本
AOS-10.4.x.x: 更新至10.4.1.5 及后续版本
Instant AOS-8.12.x.x: 更新至 8.12.0.3 及后续版本
Instant AOS-8.10.x.x: 更新至 8.10.0.14 及后续版本
慧与还提供了应变措施，以缓解无法立即安装软件更新的情况。对于这两个严重漏洞，提议的应变措施是从所有不可信网络中限制/拦截对 UDP 端口8211的访问权限。对于余下问题，厂商建议将CLI和基于web的管理接口放在专门的第2层片段或VLAN，限制对它们的访问权限，并在第3层及以上通过防火墙策略控制访问权限，从而限制潜在的暴露情况。
虽然目前还未看到漏洞遭活跃利用的情况，但仍强烈建议应用安全更新和/或缓解措施。
HPE 发布严重的 RCE 0day 漏洞，影响服务器管理软件 SIM，无补丁
Aruba 修复EdgeConnect 中的严重RCE和认证绕过漏洞
严重漏洞 TLStorm 2.0 影响大量 Aruba 和 Avaya 网络交换机
https://www.bleepingcomputer.com/news/security/cisco-bug-lets-hackers-run-commands-as-root-on-uwrb-access-points/
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞” 吧~
如有侵权请联系:admin#unsafe.sh