Aruba Networks , một công ty con của Hewlett Packard Enterprise, gần đây đã phát hành một tư vấn bảo mật để thông báo cho khách hàng của mình về sáu lỗ hổng nghiêm trọng ảnh hưởng đến nhiều phiên bản của ArubaOS, hệ điều hành mạng độc quyền của nó. Các thiết bị bị ảnh hưởng bao gồm Aruba Mobility Conductor, Aruba Mobility Controllers, Cổng WLAN do Aruba quản lý và Cổng SD-WAN.

Các lỗi nghiêm trọng do Aruba Networks xử lý có thể được chia thành hai loại: lỗi chèn lệnh và sự cố tràn bộ đệm dựa trên ngăn xếp trong giao thức PAPI. Các lỗ hổng chèn lệnh được theo dõi là CVE-2023-22747, CVE-2023-22748, CVE-2023-22749 và CVE-2023-22750, với xếp hạng CVSS v3 là 9,8 trên 10,0. Kẻ tấn công từ xa, không được xác thực có thể tận dụng chúng bằng cách gửi các gói được chế tạo đặc biệt tới PAPI qua cổng UDP 8211, dẫn đến việc thực thi mã tùy ý với tư cách là người dùng đặc quyền trên ArubaOS.

Các lỗi tràn bộ đệm dựa trên ngăn xếp được theo dõi là CVE-2023-22751 và CVE-2023-22752 và cũng có xếp hạng CVSS v3 là 9,8. Những lỗ hổng này có thể bị khai thác bằng cách gửi các gói được chế tạo đặc biệt tới PAPI qua cổng UDP 8211, cho phép những kẻ tấn công từ xa, không được xác thực chạy mã tùy ý với tư cách là người dùng có đặc quyền trên ArubaOS.

Tác động của những lỗ hổng này là rất lớn vì ArubaOS là một hệ điều hành mạng phổ biến được nhiều doanh nghiệp sử dụng. Các phiên bản bị ảnh hưởng là ArubaOS 8.6.0.19 trở xuống, ArubaOS 8.10.0.4 trở xuống, ArubaOS 10.3.1.0 trở xuống và SD-WAN 8.7.0.0-2.3.0.8 trở xuống.

Aruba đã khuyên người dùng nâng cấp lên các phiên bản nâng cấp mục tiêu để giảm thiểu các lỗ hổng. Các phiên bản mục tiêu cho các hệ thống khác nhau như sau:

ArubaOS 8.10.0.5 trở lên
ArubaOS 8.11.0.0 trở lên
ArubaOS 10.3.1.1 trở lên
SD-WAN 8.7.0.0-2.3.0.9 trở lên

Tuy nhiên, điều quan trọng cần lưu ý là một số phiên bản sản phẩm đã hết tuổi thọ (EoL) cũng bị ảnh hưởng bởi các lỗ hổng này và sẽ không nhận được bản cập nhật sửa lỗi. Chúng bao gồm ArubaOS 6.5.4.x, ArubaOS 8.7.xx, ArubaOS 8.8.xx, ArubaOS 8.9.xx và SD-WAN 8.6.0.4-2.2.xx Quản trị viên hệ thống không thể áp dụng các bản cập nhật bảo mật hoặc đang sử dụng thiết bị EoL có thể bật chế độ “Bảo mật PAPI nâng cao” bằng cách sử dụng khóa không mặc định làm giải pháp thay thế.

Cũng cần lưu ý rằng việc áp dụng các biện pháp giảm thiểu không giải quyết được 15 lỗ hổng nghiêm trọng cao và 8 lỗ hổng trung bình khác được liệt kê trong tư vấn bảo mật của Aruba, những lỗ hổng này đã được khắc phục bằng các phiên bản mới.

Aruba đã tuyên bố rằng họ không biết về bất kỳ cuộc thảo luận công khai, mã khai thác hoặc hoạt động khai thác tích cực nào đối với các lỗ hổng này kể từ ngày phát hành bản tư vấn, ngày 28 tháng 2 năm 2022. Tuy nhiên, do mức độ nghiêm trọng của các lỗ hổng, điều quan trọng là các doanh nghiệp phải thực hiện hành động kịp thời để nâng cấp hệ thống của họ hoặc triển khai các biện pháp giảm thiểu được đề xuất để tránh các cuộc tấn công tiềm ẩn có thể dẫn đến vi phạm dữ liệu và các sự cố bảo mật khác.

Bất chấp lời khuyên bảo mật gần đây, Aruba Networks vẫn là nhà cung cấp hàng đầu các sản phẩm và dịch vụ mạng tiên tiến được thiết kế để đáp ứng nhu cầu riêng của các doanh nghiệp ngày nay. Hãy cùng ArubaOS khám phá một số sản phẩm chính của họ.

HPE JZ320A – Điểm truy cập Aruba AP303

JZ320A là Aruba AP-303 (RW) Dual 2×2:2 MU-MIMO Radio Ăng-ten bên trong Unified Campus AP. Điểm truy cập khuôn viên Aruba 303 Series tầm trung giá cả phải chăng cung cấp 802.11ac hiệu suất cao với MU-MIMO (Wave 2) cho môi trường doanh nghiệp mật độ trung bình. Với BLE tích hợp và hỗ trợ nguồn 802.3af, Aruba 303 Series AP cho phép các doanh nghiệp nâng cao hiệu quả và năng suất làm việc với TCO thấp nhất.

 

HPE Q9H57A – Điểm truy cập Aruba AP514

 

Sê-ri 510 sử dụng các tính năng của 802.11ax để phục vụ hiệu quả và đồng thời nhiều máy khách và loại lưu lượng truy cập trong môi trường dày đặc, tăng tốc độ dữ liệu cho cả thiết bị riêng lẻ và toàn bộ hệ thống.

JW743A – Bộ điều khiển dòng HPE Aruba 7200

Công tắc JL376A

Aruba 8400 Switch Series là giải pháp chuyển mạch cốt lõi và tổng hợp với cách tiếp cận sáng tạo và mạnh mẽ để xử lý các ứng dụng mới, nhu cầu bảo mật và khả năng mở rộng của kỷ nguyên di động, đám mây và IoT.

 

 

Đặc điểm kỹ thuật JL376A
Giao diện/Cổng
Cổng đường lên	KHÔNG
mô-đun	Đúng
Cổng ngăn xếp	Đúng
Phương tiện & Hiệu suất
Loại phương tiện được hỗ trợ	Cáp quang
Công nghệ Ethernet	10 Gigabit Ethernet, 40 Gigabit Ethernet, 100 Gigabit Ethernet
Mạng lưới công nghệ	10GBBase-X, 40GBBase-X, 100GBBase-X
Mở rộng I/O
Tổng số khe cắm mở rộng	số 8
Mạng & Truyền thông
Lớp được hỗ trợ	3
Quản lý & Giao thức
quản lý được	Đúng
mô tả sức mạnh
Nguồn năng lượng	Nguồn cấp
Nguồn điện dự phòng được hỗ trợ	Đúng
Tính chất vật lý
Đơn vị giá đỡ tương thích	8U
Yếu tố hình thức	Có thể gắn trên giá, Có thể gắn trên thanh ray, Gắn trên bề mặt
Chiều cao	13,8″
Chiều rộng	17,4″
Chiều sâu	26″

Bạn có quan tâm đến những sản phẩm này? Chào mừng bạn đến tìm hiểu chi tiết trên DATECH.

 

CÔNG TY CỔ PHẦN DỊCH VỤ CÔNG NGHỆ DATECH

•Địa chỉ: Số 23E4 KĐT Cầu Diễn, Tổ 7, Phú Diễn, Bắc Từ Liêm, Hà Nội

• Điện thoại: 02432012368

• Hotline: 098 115 6699

• Email: info@datech.vn

• Website:https://datech.vn