「ArubaOS」に深刻な脆弱性 - リモートよりコード実行のおそれ

またPAPIプロトコルのパケット処理においてバッファオーバーフローによりDoS攻撃が可能となる脆弱性「CVE-2024-33518」が判明した。CVSS基本値は「5.3」となるが、重要度をもっとも高い「クリティカル（Critical）」とした。

このほか、重要度が2段階低い「中（Medium）」とされるサービス拒否の脆弱性5件に対処。いずれもPAPIプロトコルの処理に関する脆弱性としている。

同社は脆弱性を修正した「ArubaOS 10.6.0.0」「同10.5.1.1」「同10.4.1.1」「同8.11.2.2」「同8.10.0.11」以降へアップデートするよう利用者へ呼びかけた。あわせて「拡張PAPIセキュリティ機能」を有効化するといった緩和策をアナウンスしている。

「ArubaOS 10.3」「同8.9」「同8.8」「同8.7」「同8.6」「同6.5.4」や、「SD-WAN8.7.0.0-2.3.0」「同8.6.0.4-2.2」についても今回判明した脆弱性の影響を受けるが、メンテナンスが終了しており、パッチの提供がないため注意が必要。

今回明らかとなった脆弱性は以下のとおり。

CVE-2024-26304
CVE-2024-26305
CVE-2024-33511
CVE-2024-33512
CVE-2024-33513
CVE-2024-33514
CVE-2024-33515
CVE-2024-33516
CVE-2024-33517
CVE-2024-33518

（Security NEXT - 2024/05/01 ）ツイート