Diese eine Lücke betrifft den mitgelieferten Apache Struts-Server und erlaubt das Einschleusen von bösartigen Befehlen (CVE-2023-50164, CVSS 9.8, Risiko "kritisch"). Unter bestimmten Umständen kann dies zum Hochladen einer bösartigen Datei führen, die zur Remotecodeausführung verwendet werden kann.
Die Ausnutzung dieser Schwachstelle auf ClearPass Policy Manager wurden noch nicht bestätigt, aber die Version von Apache Struts wurde aktualisiert, um die Schwachstelle zu beheben.
Weitere Sicherheitslücken betreffen die webbasierte Verwaltungsoberfläche und ermöglichen angemeldeten Angreifern aus dem Netz, beliebige Befehle ans Betriebssystem des Hostsystems als root-Nutzer durchzureichen und so das System vollständig zu kompromittieren (CVE-2024-26294,CVE-2024-26295, CVE-2024-26296, CVE-2024-26297, CVE-2024-26298; alle CVSS 7.2, hoch).
Quelle: HPE Aruba PSA-2024-001
Das Common Vulnerability Scoring System (CVSS, deutsch: „Allgemeines Bewertungssystem für Schwachstellen“) ist ein Industriestandard zur Bewertung des Schweregrades von möglichen oder tatsächlichen Sicherheitslücken in Computer-Systemen. Im CVSS werden Sicherheitslücken nach verschiedenen Kriterien, sogenannten Metrics, bewertet und miteinander verglichen, so dass eine Prioritätenliste für Gegenmaßnahmen erstellt werden kann. CVSS ist selbst kein System zur Warnung vor Sicherheitslücken, sondern ein Standard, um verschiedene Beschreibungs- und Messsysteme miteinander kompatibel und allgemein verständlich zu machen.
Quelle: wikipedia.org
Falls Sie Unterstützung beim Beheben dieser Sicherheitslücke benötigen, kontaktieren Sie ihre Cloud Design Netzwerkexperten unter sales@cloud-design.de