Hơn 2 chục lỗ hổng tồn tại trên sản phẩm của Aruba

Chuyên gia an ninh của Google đã phát hiện hơn hai chục lỗ hổng ảnh hưởng tới các sản phẩm của nhà cung cấp thiết bị mạng Aruba Networks (thuộc sở hữu của HP Enterprise). Các lỗ hổng này dự kiến được cập nhật bản vá đầy đủ vào quý 3 tới.
Trong cảnh báo an ninh đưa ra vào ngày 6/5, chuyên gia Blumenstein của Google công bố chi tiết 26 lỗ hổng được phát hiện trong quá trình đánh giá an ninh của mình.

Các lỗ hổng ảnh hưởng tới toàn bộ các phiên bản ArubaOS, các nền tảng quản trị AirWave phiên bản 8.x đến trước 8.2, và các access point Instant (IAP) của Aruba
phiên bản trước 4.2.3.1 (ngoại trừ 4.1.3.0).

Một số lỗ hổng nghiêm trọng có liên quan tới giao thức độc quyền PAPI của Aruba. Hãng này đã đưa ra cảnh báo an ninh nêu chi tiết lỗ hổng PAPI và cách thức khắc phục lỗ hổng.

Blumenstein cũng phát hiện nền tảng quản trị AirWave bị ảnh hưởng bởi ít nhất 4 lỗ hổng an ninh, bao gồm: lỗ hổng trong giao diện quản lý RabbitMQ, việc sử dụng thuật toán tính toán yếu cho token CSRF, lỗ hổng cho phép chèn đoạn mã/lệnh ảnh hưởng đến các tập tin cấu hình NTP, và vấn đề qua mặt cơ chế xác thực liên quan tới PAPI.

22 lỗ hổng được phát hiện tồn tại trong các access point Instant bao gồm việc truyền tải thông tin đăng nhập thông qua HTTP, tài khoản mặc định, lỗ hổng thực thi mã từ xa, điểm yếu liên quan tới firmware, các vấn đề tiết lộ thông tin, và các lỗ hổng an ninh liên quan đến PAPI.

Trong cảnh báo an ninh, Aruba thông báo các lỗ hổng liên quan tới Instant có CVE-2016-2031, và toàn bộ các vấn đề AirWave có CVE-2016-2032. Hầu hết các lỗ hổng ở mức nguy hiểm trung bình hoặc thấp, chỉ có một số vấn đề liên quan đến PAPI được đánh giá có mức độ nghiêm trọng cao.

Các lỗ hổng được thông báo tới Aruba từ ngày 22/1 và bởi Google có chính sách công bố thông tin lỗ hổng sau 90 ngày nên Aruba đề nghị được kéo dài thời gian thêm 14 ngày. Aruba đã vá nhiều lỗ hổng, nhưng công ty cho biết một số trong đó không thể vá nhanh được. Bản cập nhật an ninh đầy đủ dự kiến ​​sẽ được phát hành trong quý 3 năm nay.

"Các lỗ hổng được phát hiện trong quá trình đánh giá an ninh hộp đen (black box) và do đó danh sách lỗ hổng chưa được coi là đầy đủ" Blumenstein cho biết.