As vulnerabilidades, CVE-2023-38401 e CVE-2023-38402afetará o cliente HPE Aruba Networking Virtual Intranet Access (VIA) para Microsoft Windows sistema operacional. Se a exploração for bem-sucedida, o invasor poderá sobrescrever arquivos arbitrários.
O HPE Aruba Networking lançou uma atualização para solucionar essas diversas vulnerabilidades de alta gravidade. Não há solução alternativa para essas vulnerabilidades.
A empresa disse que as versões do Networking Virtual Intranet Access (VIA) que atingiram o marco do Fim da Manutenção (EoM) não são corrigidas.
Detalhes das vulnerabilidades
- CVE-2023-38401 – Escalonamento de privilégios locais
A falha rastreada como CVE-2023-38401 com uma pontuação CVSS de 7.8 com faixa de alta gravidade encontrado no cliente HPE Aruba Networking Virtual Intranet Access (VIA) pode permitir que usuários locais elevem privilégios.
Will Dormann (@wdormann) encontrou e relatou esta vulnerabilidade por meio do Bug Bounty Program da Networking.
“A exploração bem-sucedida pode permitir a execução de código arbitrário com privilégios NT AUTHORITY\SYSTEM no sistema operacional”, disse a Aruba Networks em seu comunicado.
- CVE-2023-38402 – Sobregravação arbitrária de arquivos
A falha de substituição arbitrária de arquivo é rastreada como CVE-2023-38402 com uma pontuação CVSS de 7.1 com alta faixa de gravidade.
O cliente Networking Virtual Intranet Access (VIA) tem uma falha que pode permitir que usuários mal-intencionados substituam arquivos arbitrários como o NT AUTHORITY SYSTEM.
Por meio do programa HPE Aruba Networking Bug Bounty, a Gee-netics encontrou e relatou essa vulnerabilidade.
“Uma exploração bem-sucedida poderia permitir que esses usuários mal-intencionados criassem uma condição de negação de serviço (DoS) afetando o Microsoft Windows Processo de inicialização do sistema operacional,” lê o comunicado.
Produtos afetados
Essas falhas afetam os clientes do Networking Virtual Intranet Access (VIA) que executam as seguintes versões:
– Cliente HPE Aruba Networking Virtual Intranet Access (VIA) para Microsoft Windows:
– 4.5.0 e abaixo.
Essas falhas não afetam os clientes do HPE Aruba Networking Virtual Intranet Access (VIA) que executam outros sistemas operacionais.
Correção disponível
Acesso à intranet virtual (VIA) do HPE Aruba Networking para Microsoft Windows deve ser atualizado para a versão 4.6.0 ou superior para corrigir as vulnerabilidades presentes.