HPE Aruba marka Clearpass Policy Manager güvenlik yazılımında birden fazla güvenlik açığı bulunur. Bu, saldırganların kötü amaçlı kod enjekte etmesine ve yürütmesine olanak tanıyabilir. Boşlukları doldurmak için güncellenmiş yazılım mevcuttur.
Duyuru
Aruba Clearpass Policy Manager, örneğin kurumsal ağa bağlanan çalışanlar ve misafirler için mümkün olduğunca az sayıda hak yapılandırarak sıfır güven ağ güvenliği sağlamak üzere tasarlanmıştır. Aruba güvenlik danışma belgesi artık yazılımdaki bazıları kritik olan çeşitli güvenlik açıklarına karşı uyarıda bulunuyor.
Clearpass Policy Manager: Üçüncü taraf bileşenlerin neden olduğu boşluklar
Güvenlik açığı, dahil edilen Apache Struts sunucusunu etkiler ve komut enjeksiyonuna izin verir (CVE-2023-50164, CVSS 9.8“Risk”eleştirmen“). Beş güvenlik açığı, web tabanlı yönetim arayüzünü etkiler ve ağda kayıtlı saldırganların, ana sistemin işletim sistemine rastgele komutlar göndermesine olanak tanır. root-kullanıcılar ve dolayısıyla sistemi tamamen tehlikeye sokar (CVE-2024-26294, CVE-2024-26295, CVE-2024-26296, CVE-2024-26297, CVE-2024-26298; tüm CVSS 7.2, yüksek).
Web misafiri ve yönetim arayüzlerinde de siteler arası komut dosyası çalıştırma güvenlik açıkları vardır (CVE-2024-26299, CVE-2024-26300, CVSS) 6.6, orta) ve bilgi sızıntısına izin veren boşluklar (CVE-2024-26301, CVSS) 6.5, orta; CVE-2024-26302, CVSS 4.8, orta).
Güvenlik açıkları ClearPass Policy Manager 6.12.0, 6.11.6, 6.10.8 Düzeltme 4. Çeyrek 2023 ile 6.9.13 Düzeltme 4. Çeyrek 2023 ve önceki sürümlerini etkiliyor. Zaten ömrünün sonuna ulaşmış olan sistemler de etkilenmektedir. ClearPass Policy Manager 6.12.1, 6.11.7, 6.10.8 Düzeltme Yaması 8 Q1 2024 ve 6.9.13 Hotfix Patch 7 Q1 2024 veya daha yeni sürümlere güncelleme yapmak güvenlik açıklarını kapatır. HPE Aruba ayrıca, saldırganların güvenlik açıklarından kolayca yararlanmasını önlemek için web tabanlı yönetim arayüzünün özel bir Katman 2 ağ segmentinden/VLAN'dan veya Katman 3 ve üzeri için güvenlik duvarı politikalarıyla erişim sağlayacak şekilde sınırlandırılmasını da önerir.
Yakın zamanda Aruba'nın erişim noktalarının savunmasız olduğu tespit edildi. Üretici, cihazları korumak için Kasım ortasında güvenlik güncellemeleri yayınladı.
(Bilmiyorum)
Haberin Sonu
Duyuru
Aruba Clearpass Policy Manager, örneğin kurumsal ağa bağlanan çalışanlar ve misafirler için mümkün olduğunca az sayıda hak yapılandırarak sıfır güven ağ güvenliği sağlamak üzere tasarlanmıştır. Aruba güvenlik danışma belgesi artık yazılımdaki bazıları kritik olan çeşitli güvenlik açıklarına karşı uyarıda bulunuyor.
Clearpass Policy Manager: Üçüncü taraf bileşenlerin neden olduğu boşluklar
Güvenlik açığı, dahil edilen Apache Struts sunucusunu etkiler ve komut enjeksiyonuna izin verir (CVE-2023-50164, CVSS 9.8“Risk”eleştirmen“). Beş güvenlik açığı, web tabanlı yönetim arayüzünü etkiler ve ağda kayıtlı saldırganların, ana sistemin işletim sistemine rastgele komutlar göndermesine olanak tanır. root-kullanıcılar ve dolayısıyla sistemi tamamen tehlikeye sokar (CVE-2024-26294, CVE-2024-26295, CVE-2024-26296, CVE-2024-26297, CVE-2024-26298; tüm CVSS 7.2, yüksek).
Web misafiri ve yönetim arayüzlerinde de siteler arası komut dosyası çalıştırma güvenlik açıkları vardır (CVE-2024-26299, CVE-2024-26300, CVSS) 6.6, orta) ve bilgi sızıntısına izin veren boşluklar (CVE-2024-26301, CVSS) 6.5, orta; CVE-2024-26302, CVSS 4.8, orta).
Güvenlik açıkları ClearPass Policy Manager 6.12.0, 6.11.6, 6.10.8 Düzeltme 4. Çeyrek 2023 ile 6.9.13 Düzeltme 4. Çeyrek 2023 ve önceki sürümlerini etkiliyor. Zaten ömrünün sonuna ulaşmış olan sistemler de etkilenmektedir. ClearPass Policy Manager 6.12.1, 6.11.7, 6.10.8 Düzeltme Yaması 8 Q1 2024 ve 6.9.13 Hotfix Patch 7 Q1 2024 veya daha yeni sürümlere güncelleme yapmak güvenlik açıklarını kapatır. HPE Aruba ayrıca, saldırganların güvenlik açıklarından kolayca yararlanmasını önlemek için web tabanlı yönetim arayüzünün özel bir Katman 2 ağ segmentinden/VLAN'dan veya Katman 3 ve üzeri için güvenlik duvarı politikalarıyla erişim sağlayacak şekilde sınırlandırılmasını da önerir.
Yakın zamanda Aruba'nın erişim noktalarının savunmasız olduğu tespit edildi. Üretici, cihazları korumak için Kasım ortasında güvenlik güncellemeleri yayınladı.
(Bilmiyorum)
Haberin Sonu