Критическая SQL-инъекция без аутентификации в PAPI-протоколе ArubaOS (AOS-8): CVE-2026-79858
В начале недели стал известен новый опасный дефект в сетевом оборудовании Hewlett Packard Enterprise (HPE) ArubaOS. Уязвимость получила идентификатор CVE-2026-79858 и максимально высокую оценку критичности. Проблема затрагивает PAPI-протокол (Process Application Programming Interface), который используется для взаимодействия между компонентами инфраструктуры Aruba.
Подробности
Уязвимость представляет собой SQL-инъекцию, возникающую при обработке запросов в PAPI-протоколе в ветке AOS-8. Ключевая особенность дефекта — эксплуатация не требует аутентификации: злоумышленнику достаточно сетевого доступа к уязвимому сервису, чтобы отправлять специально сформированные запросы.
Согласно описанию CVE, успешная атака позволяет удалённому неаутентифицированному злоумышленнику:
- получать конфиденциальную информацию из нижележащей базы данных;
- изменять данные в этой базе;
- нарушать нормальную работу затронутого сервиса (вплоть до отказа в обслуживании).
Уязвимости присвоен базовый балл CVSS 9.8 (CRITICAL). Столь высокая оценка обусловлена сочетанием отсутствия требований к аутентификации, удалённого вектора атаки и потенциального воздействия на конфиденциальность, целостность и доступность данных. Затронуты продукты Hewlett Packard Enterprise (HPE) ArubaOS (AOS), ветка AOS-8.
Что делать
С учётом критичности и простоты эксплуатации рекомендуется действовать без промедления:
- Обновить ArubaOS. Проверьте актуальные бюллетени безопасности HPE Aruba Networking и установите исправленную версию прошивки для используемых моделей контроллеров и точек доступа. Перед обновлением сверьтесь с матрицей совместимости и порядком миграции.
- Ограничить доступ к PAPI. Если обновление невозможно в кратчайшие сроки, ограничьте сетевую доступность PAPI-сервиса: разрешите подключения только с доверенных сегментов и хостов (например, между контроллерами и элементами управления), заблокировав доступ из пользовательских и гостевых сетей.
- Сегментировать и фильтровать трафик. Примените межсетевые экраны и списки контроля доступа для изоляции инфраструктуры управления беспроводной сетью от недоверенных подсетей.
- Мониторить аномалии. Включите журналирование и анализ обращений к PAPI, отслеживайте подозрительные запросы и попытки взаимодействия с сервисом со стороны нештатных источников.
- Планировать компенсирующие меры. В случае отсутствия патча для конкретной модели рассмотрите временное отключение неиспользуемых функций и усиление контроля доступа на периметре.
Итог: CVE-2026-79858 — серьёзная угроза для организаций, эксплуатирующих ArubaOS ветки AOS-8. Отсутствие необходимости в аутентификации и критическая оценка CVSS делают уязвимость привлекательной целью для автоматизированных атак. Приоритет реагирования — максимальный: обновление прошивки и жёсткое ограничение сетевого доступа к PAPI-протоколу.
Источник: CVE Project (cvelistV5)