CVE-2024-54006 & CVE-2024-54007： HPE Aruba 设备中的命令注入漏洞，公开提供 PoC

HPE Aruba Networking 发布安全公告，解决其 501 无线客户端网桥中的多个命令注入漏洞。这些漏洞被追踪为 CVE-2024-54006 和 CVE-2024-54007，可允许通过验证的攻击者在受影响的设备上执行任意命令。

公告称：“501 无线客户端网桥的 Web 界面存在多个命令注入漏洞，可能导致经过验证的远程命令执行。成功利用这些漏洞后，攻击者就能在底层操作系统上以特权用户身份执行任意命令。”

这些漏洞是由 HPE Aruba Networking SIRT 的 Nicholas Starke 和独立安全研究员 Hosein Vita 发现的。Vita 还公开发布了针对其中一个漏洞的概念验证漏洞利用方法，这增加了用户应用可用补丁的紧迫性。

虽然利用漏洞需要管理员凭据，但攻击成功后可能会造成严重影响。攻击者可以获得对设备的完全控制权，有可能中断网络服务、窃取敏感数据，或将被攻击的网桥作为在网络内进行进一步攻击的支点。

为解决这些漏洞，HPE Aruba Networking 发布了适用于 501 无线客户端网桥的软件版本 V2.1.2.0-B0033。强烈建议用户尽快升级到该版本。

作为临时缓解措施，HPE Aruba Networking 建议限制对设备管理界面的访问： “为了最大限度地降低攻击者利用此漏洞的可能性，HPE Aruba Networking 建议将 CLI 和基于 Web 的管理界面限制在专用的第 2 层网段/VLAN 和/或由第 3 层及以上的防火墙策略控制。”