HPE Aruba Networking修補Wi-Fi基地臺系統軟體漏洞，其中兩個嚴重程度達9分以上

11月5日HPE Aruba Networking發布資安公告，修補旗下無線基地臺一系列的漏洞，並指出其中的CVE-2024-42509、CVE-2024-47460為重大層級特別危險。

這兩個漏洞皆涉及基地臺管理協定（PAPI）存取的命令列介面（CLI）服務，一旦成功利用，攻擊者可在未經身分驗證的情況下，發動命令注入攻擊，CVSS風險評為9.8、9.0，影響執行Instant AOS-8及AOS-10的無線基地臺，至於Mobility Conductor、Mobility Controllers、SD-WAN閘道設備則不受影響。

再者，兩者都是命令注入漏洞，位於CLI服務，攻擊者只要對PAPI使用的UDP連接埠（8211埠）發送特製封包，就能以高權限使用者的身分任意執行程式碼。

從公告的內容來看，漏洞的發生原因、造成的影響，HPE都採用一模一樣的敘述，但兩者的評分卻有所落差。發生這種現象的原因，也許可以從漏洞的危險程度評估看出瑞倪，CVE-2024-42509遭濫用的複雜度較低（AC:L），導致此漏洞的風險評分高於CVE-2024-47460。

若是無法套用更新，該公司也提供臨時緩解措施。對於執行Instant AOS-8作業系統的裝置，IT人員可透過下達cluster-security命令，啟用Cluster Security保護設定；而針對搭載AOS-10的裝置，則是應該管制8211埠，封鎖所有不受信任網域的存取行為。