【Aruba無線LANアクセスポイント】 Aruba Instantにおける脆弱性について

連絡

お知らせ管理番号：: 0000004133

公開日：: 2023年11月17日

日頃より弊社サービスをおご利用いただき誠にありがとうございます。
InstantOS及びArubaOS10で稼働するアクセスポイントにCriticalを含む複数の脆弱性（ARUBA-PSA-2023-017）が発見されました。
大きく2つの脆弱性があります。
脆弱性①②ともに「APへのIP通信が可能な環境からのみ攻撃が成立」するものであり、
悪意のある第三者が何らかの方法でLANに接続されていることが前提条件となります。
外部からの攻撃の影響は受けません。

【脆弱性①】 Critiacal脆弱性
■概要
PAPI プロトコルのバッファオーバーフローの脆弱性
脆弱性の悪用により任意のコードが実行できます。

今回の脆弱性は基本的にローカルからの攻撃が必要となります。
Meshを利用していない限り実現率は低いと考えられます。
Meshを利用している場合はPAPIの脆弱性を利用した攻撃がWi-Fi経由で
発生する可能性があるので対応ファームにアップデートする事を推奨いたします。

■影響を受けるAP
InstantOS及びArubaOS10を実行するアクセスポイント

■影響を受けるバージョン
- ArubaOS 10.5.x.x: 10.5.0.0 以下
- ArubaOS 10.4.x.x: 10.4.0.2 以下
- InstantOS 8.11.x.x: 8.11.1.2 以下
- InstantOS 8.10.x.x: 8.10.0.8 以下
- InstantOS 8.6.x.x: 8.6.0.22 以下

上記以外の以下のサポート切れの以下のOSも影響を受けます。
Aruba Mobility Conductor、Aruba Mobility Controller、モビリティコントローラーによって管理されているアクセスポイント、および Aruba SD-WAN ゲートウェイは、これらの脆弱性の影響を受けません。
Aruba Instant On もこれらの脆弱性の影響を受けません。
- ArubaOS 10.3.x.x: すべて
- InstantOS 8.9.x.x: すべて
- InstantOS 8.8.x.x: すべて
- InstantOS 8.7.x.x: すべて
- InstantOS 8.5.x.x: すべて
- InstantOS 8.4.x.x: すべて
- InstantOS 6.5.x.x: すべて
- InstantOS 6.4.x.x: すべて

■一時回避策
InstantOS 8.x または 6.x の場合、クラスタセキュリティコマンドを有効にする
ArubaOS 10デバイスの場合、ポート UDP/8211 へのアクセスをすべての信頼できないネットワークからブロックする。

【脆弱性②】 Critical脆弱性
■概要
AirWaveクライアントでの認証されていないバッファオーバーフローの脆弱性
脆弱性の悪用により任意のコードが実行できます。

■一時回避策
InstantOS 8.x または 6.x の場合、クラスタセキュリティコマンドを有効にする
ArubaOS 10デバイスの場合、ポート UDP/8211 へのアクセスをすべての信頼できないネットワークからブロックする。

▼恒久対策
上記2つの脆弱性に対応するには、以下のファームウェアにファームアップして下さい。
- ArubaOS 10.5.x.x: 10.5.0.1 以降
- ArubaOS 10.4.x.x: 10.4.0.3 以降
- InstantOS 8.11.x.x: 8.11.2.0 以降
- InstantOS 8.10.x.x: 8.10.0.9 以降
- InstantOS 8.6.x: 8.6.0.23 以降

※8.6.Xのファームウェアは2024年8月31日でサポートが切れます。
　8.10.0.9へのファームアップを推奨します。8.10.0.9へのファームアップをサポートしていないAPはAPのリプレースを推奨します。

詳細は以下のリンクを参照してください。
https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2023-017.txt

お知らせ一覧へ