HPE Aruba Networking ได้แก้ไขช่องโหว่ที่สำคัญ (CVE-2024-42505, CVE-2024-42506, และ CVE-2024-42507) ใน Access Points ที่ใช้ซอฟต์แวร์ Instant AOS-8 และ AOS-10 ซึ่งช่องโหว่เหล่านี้อาจอนุญาตให้ผู้โจมตีที่ไม่ได้รับการยืนยันตัวตนสามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลได้ชั่วคราว เพื่อเป็นการป้องกันเบื้องต้น แนะนำให้เปิดใช้งาน “cluster-security” สำหรับอุปกรณ์ Instant AOS-8.x แม้ว่าจะมีคำถามเกี่ยวกับผลกระทบต่อประสิทธิภาพและข้อกำหนดในการกำหนดค่าก็ตาม
ผลกระทบจากช่องโหว่ร้ายแรง
ช่องโหว่ร้ายแรง (CVE-2024-42505, CVE-2024-42506, CVE-2024-42507) ที่พบใน Aruba Access Points มีคะแนนความรุนแรง 9.8/10 ซึ่งบ่งชี้ถึงความเสี่ยงสูง ช่องโหว่เหล่านี้สามารถถูกโจมตีได้โดยการส่งแพ็กเก็ตที่ถูกสร้างขึ้นมาเป็นพิเศษไปยังพอร์ต PAPI UDP (8211) ทำให้ผู้โจมตีที่ไม่ได้รับการยืนยันตัวตนสามารถรันโค้ดโดยมีสิทธิพิเศษได้ แม้จะยังไม่มีรายงานการถูกโจมตีจริง แต่ผลกระทบที่เป็นไปได้รุนแรงมาก อาจนำไปสู่การเข้าควบคุมอุปกรณ์อย่างสมบูรณ์และการโจมตีเครือข่ายในวงกว้างได้
อุปกรณ์ Aruba IAP 303 อาจได้รับผลกระทบ ขึ้นอยู่กับเวอร์ชันของซอฟต์แวร์ อย่างไรก็ตาม อุปกรณ์อื่นๆ ของ Aruba เช่น Mobility Conductors, Mobility Controllers และ SD-WAN Gateways ไม่ได้รับผลกระทบจากช่องโหว่เหล่านี้
การลดผลกระทบและวิธีแก้ไขชั่วคราว
เพื่อป้องกันช่องโหว่ที่สำคัญ HPE Aruba แนะนำให้อัปเกรดเป็นเวอร์ชันที่แก้ไขแล้วล่าสุด ได้แก่ AOS-10.7.0.0, AOS-10.6.0.3, AOS-10.4.1.4, Instant AOS-8.12.0.2 หรือ Instant AOS-8.10.0.14 สำหรับอุปกรณ์ที่ไม่สามารถอัปเดตได้ทันที มีวิธีแก้ไขชั่วคราวที่สามารถใช้ได้ สำหรับผู้ใช้ Instant AOS-8.x ควรเปิดใช้งาน “cluster-security” เพื่อป้องกันความพยายามในการโจมตี ในขณะที่ผู้ใช้ AOS-10 ควรบล็อกพอร์ต UDP 8211 จากเครือข่ายที่ไม่น่าเชื่อถือ มาตรการเหล่านี้สามารถช่วยป้องกันอุปกรณ์ที่มีช่องโหว่จนกว่าจะสามารถแก้ไขได้อย่างถาวร
ขั้นตอนการตั้งค่า Cluster-Security
เพื่อเปิดใช้งาน “cluster-security” บน Aruba Access Points ที่ใช้ InstantOS (AOS-8.x) ให้ทำตามขั้นตอนดังนี้:
- ล็อกอินเข้าสู่ CLI ของ Access Point ด้วยสิทธิ์ผู้ดูแลระบบ
- ใช้คำสั่ง “cluster-security” เพื่อเปิดใช้งานฟีเจอร์นี้
- ตรวจสอบการเปิดใช้งานด้วยคำสั่ง “show cluster-security”
- หากต้องการ สามารถตั้งค่าตัวเลือกเพิ่มเติม เช่น passphrase, อัลกอริธึมการเข้ารหัส และพอร์ตการสื่อสาร
- บันทึกการเปลี่ยนแปลงด้วยคำสั่ง “commit apply”
ขั้นตอนเหล่านี้ช่วยเพิ่มความปลอดภัยในการสื่อสารระหว่าง Access Point ภายในคลัสเตอร์ ซึ่งช่วยลดผลกระทบจากช่องโหว่ที่รายงาน อย่างไรก็ตาม การอัปเดตเฟิร์มแวร์เป็นเวอร์ชันล่าสุดยังคงเป็นทางออกระยะยาวที่แนะนำสำหรับการแก้ไขปัญหาด้านความปลอดภัยเหล่านี้
