Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-77

CVE-2026-79857

AOS-8 PAPI protokolünde kimlik doğrulamasız komut enjeksiyonu açığı

Hewlett Packard Enterprise (HPE) ArubaOS (AOS)

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
24 Eki 2026
Açık yaşı
5 gün
Kaydı açan
hpe

Yönetici özeti

Bu açık, kablosuz ağ altyapısını yöneten cihazların tamamen kontrolünün saldırganlara geçmesine yol açabilir ve kurumun ağ güvenliğini ciddi biçimde tehlikeye atabilir. Herhangi bir oturum açma bilgisi gerektirmediği için saldırı çok kolay gerçekleştirilebilir. Bu nedenle etkilenen sistemlerin hemen tespit edilmesi ve güncellenmesi acil bir önceliktir.

ÖzetTürkçe

AOS-8 ürününde, Aruba'nın erişim noktası yönetim protokolü olan PAPI'de komut enjeksiyonu açığı bulunmaktadır. Saldırgan, etkilenen UDP portuna özel hazırlanmış paketler göndererek kimlik doğrulaması olmadan uzaktan kod çalıştırabilir. Açık, ArubaOS 8.13.0.0 ile 8.13.3.0 arasındaki ve 8.10.0.0 ile 8.10.0.23 arasındaki sürümleri etkilemektedir.

Saldırgan ne yapabilir?

Başarılı bir saldırı, altta yatan işletim sistemi üzerinde ayrıcalıklı kullanıcı yetkisiyle rastgele kod çalıştırılmasına olanak tanır. Bu durum cihazın tamamen ele geçirilmesine ve ağdaki diğer sistemlere sızılmasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

There is a command injection vulnerability in the PAPI protocol (Aruba's access point management protocol) of AOS-8 that could lead to unauthenticated remote code execution by sending specially crafted packets to the affected UDP port. Successful exploitation of this vulnerability results in the ability to execute arbitrary code as a privileged user on the underlying operating system.

Ne yapmalı?

  1. Etkilenen ArubaOS 8 sürümlerini kullanan cihazları belirleyin ve tedarikçinin belirttiği düzeltilmiş sürüme güncelleyin. Genel öneri
  2. Güncelleme yapılamıyorsa, PAPI protokolünün kullandığı UDP portuna dış ağdan ve güvenilmeyen ağlardan gelen erişimi güvenlik duvarı kurallarıyla engelleyin. Genel öneri
  3. Güncelleme sonrasında cihazların sürüm bilgisini kontrol ederek düzeltmenin uygulandığını doğrulayın. Genel öneri

Ek önlemler

  • Yönetim ağını kullanıcı ağlarından ayırarak kablosuz denetleyicilere yalnızca yetkili sistemlerin erişebilmesini sağlayın. Genel öneri
  • Denetleyicilerin beklenmeyen ağ trafiği ve olağandışı süreç davranışları için izleme kayıtlarını düzenli olarak inceleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Hewlett Packard Enterprise (HPE) ArubaOS (AOS) ≥ 8.13.0.0, ≤ 8.13.3.0 –
≥ 8.10.0.0, ≤ 8.10.0.23 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.