HPE 제품 보안 업데이트 권고

HPE 제품 보안 업데이트 권고 - ASEC

 

• 개요
  • HPE 제품에서 발생하는 취약점을 해결하는 보안 업데이트가 발표됨
  • 해당하는 시스템 사용자는 최신 버전으로 업데이트 필요
• 대상 제품
  • CVE-2024-42505, CVE-2024-42506, CVE-2024-42507
    • AOS-10 버전: AOS-10.6(포함) ~ 10.6.0.2(포함)
    • AOS-10 버전: AOS-10.4(포함) ~ 10.4.1.3(포함)
    • Instant AOS-8 버전: Instant AOS-8.12(포함) ~ 8.12.0.1(포함)
    • Instant AOS-8 버전: Instant AOS-8.10(포함) ~ 8.10.0.13(포함)
• 해결된 취약점
  • Command Injection 취약점
    • HPE Aruba Networking의 Aruba Access Points에서 발생하는 Command Injection 취약점
    • CLI 서비스에서 발생하며, PAPI UDP 포트(8211)를 통해 특별히 조작된 패킷을 전송함으로써 공격자가 임의의 명령을 실행할 수 있음
    • 원격 코드 실행이 가능하며, 공격자는 권한이 있는 사용자로서 운영 체제에서 명령을 실행할 수 있음
    • CVE-2024-42505, CVE-2024-42506, CVE-2024-42507
• 취약점 패치
  • 최신 업데이트를 통해 제품별 취약점 패치가 제공됨
  • 영향받는 버전을 사용하는 경우, 아래 버전으로 업데이트 권장
    • AOS-10 버전: 10.6.0.3 이상 또는 10.7 이상
    • AOS-10 버전: 10.4.1.4 이상, 10.6.0.3 이상, 10.7 이상
    • Instant AOS-8 버전: 8.12.0.2 이상
    • Instant AOS-8 버전: 8.10.0.14 이상
• 보안 조치
  • Aruba Access Points 사용자는 해당 제품의 최신 소프트웨어 버전으로 업데이트하여 취약점을 해결할 것을 권장
  • 클러스터 보안 설정을 활성화하거나, UDP 포트 8211에 대한 네트워크 액세스를 차단하여 미인증된 접근을 방지하는 추가 조치 필요