Alerta Masiva de Ciberseguridad por múltiples vulnerabilidades en productos Aruba (subsidiaria de Redes Inalámbricas)

Con fecha 1 de marzo del 2023, han sido descubiertas múltiples vulnerabilidades de importancia en productos de Aruba, 6 de severidad Crítica, 19 Altas y 8 Medias, cuya explotación podría permitir a un atacante realizar las siguientes

• Cross-Site Scripting (XSS), ejecución arbitraria de código y de comandos, eliminación arbitraria de archivos, divulgación de información sensible, desbordamiento de búfer y reutilización de sesiones.

Aruba Networks, anteriormente conocida como Aruba Wireless Networks, es una subsidiaria de Redes Inalámbricas con sede en Santa Clara, California, Estados Unidos de América, de la compañía Hewlett Packard Enterprise. Entre sus productos se encuentran, entre otros:

• Puntos de acceso WIFI (interiores y exteriores, conmutadores Ethernet, controladores LAN inalámbricos (WLC por sus siglas en inglés).

Recursos afectados:

Los siguientes productos de Aruba se ven afectados:

• Aruba Mobility Conductor (anteriormente conocido como Mobility Master),
• Aruba Mobility Controllers,
• WLAN Gateways y SD-WAN Gateways gestionados por Aruba Central.

Versiones de software afectadas:

• ArubaOS 8.6.x.x: 8.6.0.19 y anteriores;
• ArubaOS 8.10.x.x: 8.10.0.4 y anteriores;
• ArubaOS 10.3.x.x: 10.3.1.0 y anteriores;
• SD-WAN 8.7.0.0-2.3.0.x: 8.7.0.0-2.3.0.8 y anteriores.

Todas las versiones de software de ArubaOS y SD-WAN que han llegado al final de su ciclo de vida (EOL) y se listan a continuación están afectadas por estas vulnerabilidades y no serán parcheadas:

• ArubaOS 6.5.4.x;
• ArubaOS 8.7.x.x;
• ArubaOS 8.8.x.x;
• ArubaOS 8.9.x.x;
• SD-WAN 8.6.0.4-2.2.x.x.

Detalles:

Las vulnerabilidades críticas se describen a continuación:

• Varias vulnerabilidades de inyección de comandos podrían conducir a una ejecución de código remota por parte de un atacante, no autenticado, mediante el envío de paquetes maliciosos al puerto UDP (8211) de PAPI (Process Application Programming Interface). Se han asignado los identificadores CVE-2023-22747, CVE-2023-22748, CVE-2023-22749 y CVE-2023-22750 para estas vulnerabilidades.
• Una serie de vulnerabilidades de desbordamiento de búfer podrían permitir la ejecución de código remota por parte de un atacante, no autenticado, mediante el envío de paquetes especialmente diseñados al puerto UDP (8211) de PAPI. Se han asignado los identificadores CVE-2023-22751 y CVE-2023-22752 para estas vulnerabilidades.

El resto de identificadores CVE para vulnerabilidades altas y medias se pueden consultar en el aviso del fabricante.

Solución:

Actualizar a las siguientes versiones para corregir las vulnerabilidades de desbordamiento de búfer:

• ArubaOS 8.10.x.x: 8.10.0.5 y superiores;
• ArubaOS 8.11.x.x: 8.11.0.0 y superiores;
• ArubaOS 10.3.x.x: 10.3.1.1 y superiores;
• SD-WAN 8.7.0.0-2.3.0.x: 8.7.0.0-2.3.0.9 y superiores.

Los clientes que opten por aplicar las medidas de mitigación (workarounds) listadas en el aviso del fabricante deben tener en cuenta que el resto de vulnerabilidades se solucionan con las versiones siguientes:

ArubaOS 8.6.x.x: 8.6.0.20 y superiores (no todas las vulnerabilidades se corrigen en versiones 8.6.x.x);

• ArubaOS 8.10.x.x: 8.10.0.5 y superiores;
• ArubaOS 8.11.x.x: 8.11.0.0 y superiores;
• ArubaOS 10.3.x.x: 10.3.1.1 y superiores;
• SD-WAN 8.7.0.0-2.3.0.x: 8.7.0.0-2.3.0.9 y superiores.

El fabricante no evalúa, ni parchea las ramas (branches) que han alcanzado el final del soporte