CVE-2024-31471
— 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：ArubaOS/InstantOS 存在 **PAP** 相关安全漏洞。
💥 **后果**：CVSS 评分极高（H/H/H），可能导致 **机密性、完整性、可用性** 全面崩溃。
Q2根本原因？（CWE/缺陷点）
🔍 **缺陷点**：源于 **PAP** (Password Authentication Protocol) 处理逻辑。
⚠️ **CWE**：数据中未提供具体 CWE ID，但通常涉及认证绕过或弱加密。
Q3影响谁？（版本/组件）
🏢 **厂商**：HPE / Aruba Networks。
📦 **受影响产品**：
- **AOS-8 Instant**
- **AOS-10 AP** (ArubaOS 及 InstantOS 系统)。
Q4黑客能干啥？（权限/数据）
👮 **权限**：攻击者无需认证 (PR:N)。
📂 **数据**：可获取 **高** 机密性信息 (C:H)。
💣 **影响**：可完全控制或破坏系统 (I:H, A:H)。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：**极低**。
- **网络访问**：AV:N (网络远程)
- **复杂度**：AC:L (低)
- **用户交互**：UI:N (无需交互)
- **权限**：PR:N (无需认证)
Q6有现成Exp吗？（PoC/在野利用）
💣 **Exp/PoC**：数据中 **pocs** 字段为空。
🌍 **在野**：无明确在野利用报告提及，但鉴于 CVSS 满分潜力，风险极高。
Q7怎么自查？（特征/扫描）
🔎 **自查特征**：
1. 检查 Aruba 设备是否为 **AOS-8** 或 **AOS-10** 版本。
2. 关注 **PAP** 认证相关的网络流量或配置。
3. 扫描 HPE 官方支持页面确认版本状态。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：
- 发布日期：**2024-05-14**。
- 参考文档：**ARUBA-PSA-2024-006**。
- 建议立即查阅 HPE 支持链接获取补丁。
Q9没补丁咋办？（临时规避）
⏸️ **临时规避**：
- 限制对 Aruba 管理接口的 **网络访问**。
- 若可能，暂时禁用 **PAP** 认证方式，改用更安全的协议（如 EAP-TLS）。
- 实施严格的 **ACL** 策略。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急 (Critical)**。
- CVSS 向量显示为 **高危**。
- 无需认证即可利用。
- **行动**：立即打补丁或实施网络隔离。