Descripción
Una vulnerabilidad en la interfaz de administración web de AOS podría permitir que un atacante remoto no autenticado realice ataques de inyección SQL contra la instancia de AOS. Su explotación exitosa podría permitir que un atacante ejecute comandos arbitrarios en el sistema operativo subyacente.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- ArubaOS (AOS) Afectadas: 10.8.0.0 a 10.8.1.1 · 10.7.0.0 a 10.7.2.6 · 10.4.0.0 a 10.4.1.13 · 8.13.0.0 a 8.13.3.0 · 8.10.0.0 a 8.10.0.23
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en support.hpe.comsupport.hpe.com/hpesc/public/docDisplay
Ver el texto original en inglés (CVE.org)
Unauthenticated SQL Injection allows Remote Code Execution in AOS Web-Based Management Interface
A vulnerability in the web-based management interface of AOS could allow an unauthenticated remote attacker to conduct SQL injection attacks against the AOS instance. Successful exploitation could allow an attacker to execute arbitrary commands on the underlying operating system.