HPE修補Aruba網路設備八個最高風險等級RCE與認證繞過漏洞

背景與影響

HPE發布安全公告,針對旗下Aruba Networking企業級無線基礎設施所使用的ArubaOS(AOS)系統,一次修補72個漏洞,其中8個被列為最高嚴重等級,涵蓋AOS-8與AOS-10多個版本。

ArubaOS是驅動企業無線網路核心設備的作業系統,包括行動控制器、存取點、控制器與閘道器設備,一旦遭到攻擊,可能導致整個企業無線網路基礎設施被接管。

這8個最高風險漏洞的攻擊方式包含未經授權的指令注入、SQL注入導致遠端程式碼執行、緩衝區溢位以及PAPI協定認證繞過,皆可由遠端攻擊者在無需任何權限、不需使用者互動的情況下以低複雜度手法利用。

雖然HPE表示目前尚未發現公開的概念驗證攻擊程式碼或實際遭利用的證據,但鑑於漏洞影響範圍廣泛且攻擊門檻低,公司仍強烈呼籲客戶盡速安裝更新,並建議將管理介面限制在專屬網段內以降低風險。

解決方案

• 立即檢查所使用的AOS-8與AOS-10版本,盡速套用HPE釋出的安全更新。
• 將CLI與網頁管理介面限制在專屬的第二層網段或VLAN內,降低暴露面。
• 透過防火牆政策在第三層以上控管管理介面的存取來源。
• 啟用帳戶稽核功能,追蹤並記錄使用者活動與資源使用情形。
• 定期檢視網路設備清冊,確認所有Aruba裝置皆已完成修補。
• 持續關注HPE資安公告,留意是否出現針對此批漏洞的概念驗證程式碼或實際攻擊案例。