Aruba ha lanzado actualizaciones de seguridad para Aruba Orchestrator en donde se abordan correcciones para múltiples vulnerabilidades. Los fallos cuentan con una severidad entre alta y media y son de los siguientes tipos:
- Inyección SQL
- Escalada de privilegios
- Cross-site-scripting
- Bypass de autenticaciónEstas vulnerabilidades, de ser explotadas, podrían usarse para:• Obtener y modificar información sensible
- Permitir a un atacante obtener acceso administrativo en la interfaz de administración web produciendo un compromiso del sistema
- Ejecutar código arbitrario en el navegador de una víctima en el contexto de la interfaz afectada
- Ejecutar comandos arbitrarios como root comprometiendo el sistema al completo
- Permitir que un atacante inicie sesión usando solo un nombre de usuario y contraseña y eludir con éxito los requisitos de MFA (autenticación de múltiples factores)
- Permitir a un atacante autenticado permanecer en el sistema con los permisos de su actual sesión
Los identificadores de todas ellas son: CVE-2022-43519, CVE-2022-43520, CVE-2022-43521, CVE-2022-43522, CVE-2022-43523, CVE-2022-44535, CVE-2022-43524, CVE-2022-44534, CVE-2022-43525, CVE-2022-43526, CVE-2022-43527, CVE-2022-43528, CVE-2022-43529.Para la mitigación de estas vulnerabilidades, desde el BCSC se recomienda tener siempre los sistemas y aplicaciones actualizadas a la última versión disponible en cuanto se publiquen las actualizaciones correspondientes.Desde Aruba, según se refleja su nota de seguridad, se recomienda actualizar Aruba EdgeConnect Enterprise Orchestrator a una de las versiones corregidas para resolver todos los problemas señalados
