HPE Aruba Networking a publié son avis de sécurité d’avril 2024 détaillant les vulnérabilités critiques d’exécution de code à distance affectant plusieurs versions d’ArubaOS, son système d’exploitation de réseau propriétaire.
ArubaOS 10.5.1.0 et inférieur, 10.4.1.0 et antérieur, 8.11.2.1 et inférieur, et 8.10.0.10 et antérieur.
Toutes les versions d’ArubaOS et de SD-WAN qui ont atteint l’EoL. Cela inclut les versions d’ArubaOS inférieures à 10.3, 8.9, 8.8, 8.7, 8.6, 6.5.4, et SD-WAN 2.3.0 à 8.7.0.0 et 2.2 à 8.6.0.4.
Pour pallier ces failles, l’éditeur recommande d’activer la fonction Enhanced PAPI Security et de mettre à jour les versions corrigées d’ArubaOS. Les dernières versions corrigent également six autres vulnérabilités, toutes de gravité « moyenne », qui pourraient permettre à des attaquants non authentifiés de créer un déni de service sur des appareils vulnérables et de provoquer des perturbations opérationnelles coûteuses.
À l’heure actuelle, HPE Aruba Networking n’a connaissance d’aucun cas d’exploitation active ou de l’existence d’exploits de démonstration de concept pour les vulnérabilités mentionnées.
Palo Alto Networks corrige un zero-day exploité pour ouvrir une porte dérobée sur les pare-feu.
