HPE แจ้งเตือนช่องโหว่ RCE ระดับ Critical ใน Aruba Networking Access Point

Hewlett Packard Enterprise (HPE) ออกอัปเดตแพตซ์สำหรับซอฟต์แวร์ Instant AOS-8 และ AOS-10 เพื่อแก้ไขช่องโหว่ระดับ Critical 2 รายการใน Aruba Networking Access Point

ช่องโหว่ความปลอดภัย 2 รายการ อาจทำให้ Hacker สามารถโจมตีในลักษณะ command injection โดยไม่จำเป็นต้องผ่านการยืนยันตัวตนจากระยะไกล โดยการส่งแพ็คเก็ตที่สร้างขึ้นมาเป็นพิเศษไปยัง Aruba's Access Point management protocol (PAPI) ผ่าน port UDP 8211

ช่องโหว่ CVE-2024-42509 (คะแนน CVSS 9.8/10 ความรุนแรงระดับ Critical) และ CVE-2024-47460 (คะแนน CVSS 9.0/10 ความรุนแรงระดับ Critical) ทั้งสองรายการอยู่ใน command line interface (CLI) service ซึ่งเข้าถึงได้ผ่าน PAPI protocol

นอกจากนี้การอัปเดตยังแก้ไขช่องโหว่ด้านความปลอดภัยอีก 4 รายการ :

CVE-2024-47461 (คะแนน CVSS 7.2/10 ความรุนแรงระดับ High) เป็นช่องโหว่การเรียกใช้คำสั่งจากระยะไกล ที่ต้องผ่านการยืนยันตัวตน ซึ่งอาจทำให้ Hacker สามารถดำเนินการคำสั่งตามที่ต้องการบนระบบปฏิบัติการได้

CVE-2024-47462 และ CVE-2024-47463 (คะแนน CVSS 7.2/10 ความรุนแรงระดับ High) เป็นช่องโหว่ที่ทำให้ Hacker ที่ต้องผ่านการยืนยันตัวตน สามารถสร้างไฟล์ตามที่ต้องการ ซึ่งอาจนำไปสู่การเรียกใช้คำสั่งจากระยะไกลได้

CVE-2024-47464 (คะแนน CVSS 7.2/10 ความรุนแรงระดับ High) เป็นช่องโหว่ที่ Hacker ที่ต้องผ่านการยืนยันตัวตน สามารถเข้าถึงไฟล์ที่ไม่ได้รับอนุญาตผ่านการโจมตีแบบ Path Traversal ได้

ช่องโหว่ทั้ง 6 รายการมีผลกระทบต่อเวอร์ชัน

  • Instant AOS-10.4.xx: 10.4.1.4 และเวอร์ชันเก่ากว่า
  • Instant AOS-8.12.xx: 8.12.0.2 และต่ำกว่า
  • Instant AOS-8.10.xx: 8.10.0.13 และเวอร์ชันเก่ากว่า

ทั้งนี้ HPE ได้ระบุในคำแนะนำด้านความปลอดภัยว่า ซอฟต์แวร์อีกหลายเวอร์ชันที่ถึงวันสิ้นสุดการบำรุงรักษา (End of Maintenance) ก็จะได้รับผลกระทบจากช่องโหว่เหล่านี้ด้วย และจะไม่มีการอัปเดตด้านความปลอดภัยสำหรับซอฟต์แวร์เวอร์ชันเหล่านั้น

การแก้ไข และแนวทางแก้ปัญหา

เพื่อแก้ไขช่องโหว่ใน Aruba Networking Access Point HPE ขอแนะนำให้ผู้ใช้อัปเดตอุปกรณ์เป็นซอฟต์แวร์เวอร์ชันต่อไปนี้ หรือใหม่กว่า :

  • AOS-10.7.xx: อัปเดตเป็นเวอร์ชัน 10.7.0.0 ขึ้นไป
  • AOS-10.4.xx: อัปเดตเป็นเวอร์ชัน 10.4.1.5 หรือใหม่กว่า
  • AOS-8.12.xx: อัปเดตเป็นเวอร์ชัน 8.12.0.3 หรือใหม่กว่า
  • AOS-8.10.xx: อัปเดตเป็นเวอร์ชัน 8.10.0.14 หรือสูงกว่า

ทั้งนี้ HPE ได้จัดเตรียมแนวทางลดผลกระทบจากช่องโหว่ทั้ง 6 รายการ เพื่อป้องกันในกรณีที่ไม่สามารถอัปเดตซอฟต์แวร์ได้ทันที :

  • จำกัด/บล็อกการเข้าถึงพอร์ต UDP 8211 จากเครือข่ายที่ไม่น่าเชื่อถือทั้งหมด
  • จำกัดการเข้าถึง CLI และ web-based management เฉพาะ VLAN และควบคุมการเข้าถึงด้วย firewall policies ซึ่งจะสามารถจำกัดขอบเขตการโจมตีที่อาจเกิดขึ้นได้

HPE ยังไม่พบการโจมตีโดยใช้ช่องโหว่ดังกล่าว แต่ก็ควรเร่งดำเนินการอัปเดตด้านความปลอดภัย และ/หรือใช้วิธีการลดผลกระทบเพื่อป้องกันความเสี่ยงที่อาจจะเกิดขึ้น

ที่มา : bleepingcomputer.com