HPE פרסמה עדכוני אבטחה ל-ArubaOS (AOS) שמתקנים 72 פגיעויות. שמונה מהן מדורגות בחומרה מרבית, משפיעות על גרסאות של AOS-8 ושל AOS-10, וניתנות לניצול מרחוק בלי הרשאות ובלי אינטראקציה של משתמש. מי שמפעיל בקרים או Gateways של Aruba צריך לבדוק את הנושא השבוע.
מה קרה
לפי הסיקור של BleepingComputer, שמונה המזהים הם CVE-2026-79844 עד CVE-2026-79851. ב-AOS-10 מדובר בעקיפת אימות שמובילה להרצת קוד, בעקיפת אימות בפרוטוקול PAPI ובשתי שגיאות גלישת מאגר שמובילות להרצת קוד. ב-AOS-8 מדובר בהזרקת פקודות ללא אימות, בשתי פגיעויות SQL injection שמובילות להרצת קוד, ובעקיפת אימות נוספת שמובילה להרצת קוד.
HPE מסרה שאינה מודעת לדיון פומבי או לקוד ניצול, ושאין עדות לניצול בפועל נכון למועד הפרסום. ציוני CVSS ומספרי הגרסאות המדויקים לא צוינו בכתבה, ולכן הם לא מופיעים כאן; את הגרסאות המתוקנות יש לקחת מייעוץ היצרן.
נקודות לשים לב
- פתח את הייעוץ של HPE וקבע לפיו אילו גרסאות AOS-8 ו-AOS-10 רצות אצלך ולאיזו גרסה לעדכן; אני לא מציין כאן מספרי גרסה כי הם לא אומתו במקור.
- אם אי אפשר לעדכן מיד, HPE ממליצה להגביל את ממשקי ה-CLI והווב לסגמנט L2 או VLAN ייעודי, ו/או לחסום אותם בחומת אש משכבה 3 ומעלה.
- ודא שממשקי הניהול אינם חשופים לאינטרנט, והפעל רישום פעולות משתמשים (accounting) כדי שיהיה מה לבדוק בדיעבד.
- העובדה שאין ניצול ידוע היום אינה מצדיקה דחייה: פגיעויות ללא אימות בציוד רשת נוטות להיות מנוצלות זמן קצר אחרי פרסום התיקון.
מקורות: BleepingComputer · ייעוץ HPE
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
