HPE Aruba製アクセスポイントに複数脆弱性 - 「クリティカル」も

Hewlett Packard Enterprise傘下のHPE Aruba Networking（旧Aruba Networks）が提供するアクセスポイントに複数の深刻な脆弱性が判明した。脆弱性を修正したアップデートが提供されている。

現地時間11月5日にセキュリティアドバイザリを公表し、CVEベースで6件の脆弱性を明らかにした。アドバイザリの重要度を、4段階中もっとも高い「クリティカル（Critical）」としている。

なかでも、コマンドラインにおいてArubaのアクセス管理プロトコル「PAPI」の処理に判明したコマンドインジェクションの脆弱性「CVE-2024-42509」については、認証なしにリモートから任意のコマンドを実行でき、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」と評価した。

同じく「PAPI」の処理に明らかとなったコマンドインジェクション「CVE-2024-47460」についても、CVSS基本値が「9.0」で続いており、個別の評価においても、「クリティカル（Critical）」とレーティングしている。

このほか、認証が必要となるが「Instant AOS-8」および「AOS-10」に判明したリモートよりコマンドの実行が可能となる「CVE-2024-47461」や、ファイル作成が可能となる「CVE-2024-47462」「CVE-2024-47463」、パストラバーサルの脆弱性「CVE-2024-47464」などに対処した。

同社は脆弱性を修正した「AOS-10.7.0.0」「同10.4.1.5」「同8.12.0.3」「同8.10.0.14」を提供しており、これらバージョン以降へアップデートするよう呼びかけている。

（Security NEXT - 2024/11/08 ） ツイート

PR

関連記事

試験管理システムで侵害、受験者情報流出の可能性 - 日商
保育施設職員が偽警告でサポート詐欺被害 - 田村市
肌測定システムで個人情報や測定結果が流出 - 資生堂
インシデント被害者や調査担当者向けの「報告書チェックリスト」
Adobe、9製品で脆弱性を修正 - 21件が「クリティカル」
「MongoDB Server」にRCE脆弱性 - 修正版を公開
「Chrome」が今週2度目の更新 - 脆弱性83件を修正、「クリティカル」も
Ivantiの5製品が脆弱性に対応 - 2製品に「クリティカル」
「Firefox 160」が公開 - 99件の脆弱性に対応
自治会長の住所を誤記載、別人宛に発送 - 東京都