日頃より弊社サービスをおご利用いただき誠にありがとうございます。
InstantOS及びArubaOS10で稼働するアクセスポイントにCriticalを含む複数の脆弱性が発見されました。
大きく2つの脆弱性があります。
脆弱性①②ともに「APへのIP通信が可能な環境からのみ攻撃が成立」するものであり、
悪意のある第三者が何らかの方法でLANに接続されていることが前提条件となります。
外部からの攻撃の影響は受けません。
【脆弱性①】 Critical脆弱性
■概要
PAPI プロトコルのバッファ オーバーフローの脆弱性
脆弱性の悪用により任意のコードが実行できます。
今回の脆弱性は基本的にローカルからの攻撃が必要となります。
Meshを利用していない限り実現率は低いと考えられます。
Meshを利用している場合はPAPIの脆弱性を利用した攻撃がWi-Fi経由で
発生する可能性があるので対応ファームにファームアップしてください。
■影響を受けるAP
InstantOS及びArubaOS10を実行するアクセスポイント
■影響を受けるバージョン
- ArubaOS 10.4.x.x: 10.4.0.1 以下
- InstantOS 8.11.x.x: 8.11.1.0 以下
- InstantOS 8.10.x.x: 8.10.0.6 以下
- InstantOS 8.6.x.x: 8.6.0.20 以下
- InstantOS 6.5.x.x: 6.5.4.24 以下
- InstantOS 6.4.x.x: 6.4.4.8-4.2.4.21 以下
上記以外の以下のサポート切れの以下のOSも影響を受けます。
Aruba Mobility Conductor、Aruba Mobility Controller、モビリティ コントローラーによって管理されているアクセスポイント、および Aruba SD-WAN ゲートウェイは、これらの脆弱性の影響を受けません。
Aruba Instant On もこれらの脆弱性の影響を受けません。
- ArubaOS 10.3.x.x: すべて
- InstantOS 8.9.x.x: すべて
- InstantOS 8.8.x.x: すべて
- InstantOS 8.7.x.x: すべて
- InstantOS 8.5.x.x: すべて
- InstantOS 8.4.x.x: すべて
■一時回避策
InstantOS 8.x または 6.x の場合、クラスタセキュリティコマンドを有効にする。
ArubaOS 10デバイスの場合、ポート UDP/8211 へのアクセスをすべての信頼できないネットワークからブロックする。
【脆弱性②】High脆弱性
■概要
InstantOSとAOS10によって使用されるカーネルに情報漏洩の脆弱性
■影響を受けるAP
- 650 シリーズ アクセス ポイント
- 630 シリーズ アクセス ポイント
- 550 シリーズ アクセス ポイント
- 530 シリーズ アクセス ポイント
■影響を受けるバージョン
- ArubaOS 10.4.x.x: 10.4.0.1 以下
- InstantOS 8.11.x.x: 8.11.1.0 以下
- InstantOS 8.10.x.x: 8.10.0.6 以下
- InstantOS 8.6.x.x: 8.6.0.20 以下
■一時回避策
無し
詳細は以下のリンクを参照してください。
https://nvd.nist.gov/vuln/detail/CVE-2022-25667
▼恒久対策
上記2つの脆弱性に対応するには、以下のファームウェアにファームアップして下さい。
- ArubaOS 10.4.x.x: 10.4.0.2 以降
- InstantOS 8.11.x.x: 8.11.1.1 以降
- InstantOS 8.10.x.x: 8.10.0.7 以降
- InstantOS 8.6.x: 8.6.0.21 以降
- InstantOS 6.5.x: 6.5.4.25 以降
- InstantOS 6.4.x: 6.4.4.8-4.2.4.22 以降
また、脆弱性に関しての詳細につきましては、以下のメーカサイトよりご確認をお願いいたします。
https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2023-009.txt
