HPE Aruba AOS-8 & AOS-10 Multiple Vulnerabilities Advisory

HPE Aruba Networking AOS-8 & AOS-10 複数脆弱性セキュリティ公告サマリー 脆弱性情報概要 HPE Aruba Networking は、Mobility Controllers、Controllers、および Gateways に対する AOS-8 および AOS-10 のパッチをリリースし、複数のセキュリティ脆弱性を修正しました。主な脆弱性の種類は以下の通りです： リモートコード実行 (RCE)：任意のコード実行、任意のコマンド実行、任意のファイルのダウンロード/修改、ヒープバッファオーバーフロー、SQL インジェクション、コマンドインジェクションなどの経路を通じて。 サービス妨害 (DoS)：特別に作成されたネットワークメッセージまたはネットワーク管理サービスにより、システムプロセスの終了を誘発。 権限昇格：未承認のアクセス、任意のファイル作成/書き込み、セッションの再利用などによる。 影響範囲 影響を受ける製品には、HPE Aruba Networking の Mobility Controllers、および HPE Aruba Networking Central によって管理される WLAN および SD-WAN Gateways が含まれます。 影響を受けるソフトウェアバージョン： AOS-10.x.x: 10.8.0.0 以前 AOS-10.6.x.x: すべて AOS-10.5.x.x: すべて AOS-10.3.x.x: すべて AOS-8.12.x.x: すべて AOS-8.11.x.x: すべて AOS-8.9.x.x: すべて AOS-8.8.x.x: すべて AOS-8.7.x.x: すべて AOS-8.6.x.x: すべて AOS-6.5.x.x: すべて SD-WAN 8.7.0.0-2.3.0.x: すべて SD-WAN 8.6.0.4-2.2.x.x: すべて 注：AOS-8.12.x ブランチはメンテナンスが終了していますが、AOS-8.12.0.6 以前に影響する脆弱性を修正するための一時例外パッチがリリースされています。 修正方法 1. ソフトウェアのアップグレード：影響を受けるデバイスを最新のセキュリティパッチバージョンにアップグレードします。 2. ネットワークの分離：CLI および Web 管理インターフェースを専用セカンダリ VLAN セグメントに制限するか、レイヤー3以上のファイアウォールポリシーを通じて制御します。 3. アクセス制御：信頼できるネットワークインフラ設備（管理用アクセスポイント AP やピアコントローラなど）のみが UDP ポート 8444 を介して管理インターフェースにアクセスできるように、ファイアウォールポリシーを設定します。 4. モニタリングと監査：アカウント制御を有効にし、ユーザーのアクティビティおよびリソース使用状況を追跡・記録します。 詳細な脆弱性情報 1. 未承認のサービス妨害 (CVE-2026-23824, CVE-2026-23825) 説明：プロトコル処理コンポーネントに脆弱性があり、攻撃者が特別に作成されたネットワークメッセージを送信することで重要なプロセスの終了を誘発し、DoS を引き起こすことができます。 CVSS 評価：7.5 (High) 影響バージョン：AOS-10.x のみが影響を受けます。AOS-8.x は影響を受けません。 内部参照：VULN-121, VULN-11 2. 未承認のサービス妨害 (CVE-2026-23826) 説明：ネットワーク管理サービスに脆弱性があり、攻撃者が特別に作成されたネットワークパケットを送信することでサービス予期せぬ終了を誘発し、DoS を引き起こすことができます。 CVSS 評価：7.5 (High) 影響バージョン：AOS-8.x のみが影響を受けます。AOS-10.x は影響を受けません。 内部参照：VULN-125 3. 未承認のリモートコード実行 (CVE-2026-23827) 説明：ネットワーク管理サービスにヒープバッファオーバーフローの脆弱性があり、攻撃者が任意のコードを実行することができ、システム全体の乗っ取りや DoS を引き起こす可能性があります。 CVSS 評価：7.5 (High) 内部参照：VULN-124 4. 認証済みリモートコード実行 - 任意ファイルの上書き (CVE-2026-44852) 説明：Web 管理インターフェースに脆弱性があり、攻撃者が証明書ダウンロード機能を利用して任意のファイルを上書きし、任意のコマンドを実行できます。 CVSS 評価：7.2 (High) 内部参照：VULN-106 5. 認証済みリモートコード実行 - 任意ファイルの書き込み (CVE-2026-44853, CVE-2026-44854) 説明：Web 管理インターフェースにコマンドインジェクションの脆弱性があり、攻撃者が任意のファイルをアップロードして任意のコマンドを実行できます。 CVSS 評価：7.2 (High) 内部参照：VULN-102, VULN-77 6. 認証済みスタックバッファオーバーフロー (CVE-2026-44855, CVE-2026-44856, CVE-2026-44857, CVE-2026-44858, CVE-2026-44859) 説明：複数の管理サービスコンポーネントにスタックバッファオーバーフローの脆弱性があり、攻撃者が任意のコードを実行して権限を昇格できます。 CVSS 評価：7.2 (High) 内部参照：VULN-132, VULN-131, VULN-130, VULN-119, VULN-107 7. 認証済みリモートコード実行 - SQL インジェクション (CVE-2026-44860, CVE-2026-44861, CVE-2026-44862, CVE-2026-44863, CVE-2026-44864) 説明：複数のサービスコンポーネントに SQL インジェクションの脆弱性があり、攻撃者が任意のコマンドを実行できます。 CVSS 評価：7.2 (High) 内部参照：VULN-129, VULN-115, VULN-114, VULN-85, VULN-81 8. 認証済みコマンドインジェクション (CVE-2026-44865, CVE-2026-44866, CVE-2026-44867, CVE-2026-44868, CVE-2026-44869) 説明：Web 管理インターフェースにコマンドインジェクションの脆弱性があり、攻撃者が任意のコマンドを実行できます。 CVSS 評価：7.2 (High) 内部参照：VULN-98, VULN-96, VULN-91, VULN-90, VULN-78 9. 認証済みコマンドインジェクション (CVE-2026-44870, CVE-2026-44871) 説明：CLI サービスにコマンドインジェクションの脆弱性があり、攻撃者が任意のコマンドを実行できます。 CVSS 評価：7.2 (High) 内部参照：VULN-105, VULN-89 10. 認証済み任意ファイルのアップロード (CVE-2026-44872) 説明：Web 管理インターフェースにコマンドインジェクションの脆弱性があり、攻撃者がシステム上に任意のファイルを配置できます。 CVSS 評価：7.2 (High) 内部参照：VULN-103 11. セッション管理の脆弱性 (CVE-2026-44873) 説明：AOS-8 にセッション管理の脆弱性があり、攻撃者が無効化されたアカウントの認証情報を使用してアクセスを維持できます。 CVSS 評価：7.1 (High) 内部参照**：VULN-101

目標達成すべての支援者に感謝 — 100%達成しました！

HPE Aruba AOS-8 & AOS-10 Multiple Vulnerabilities Advisory

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

HPE Aruba AOS-8 & AOS-10 Multiple Vulnerabilities Advisory

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！