CERTFR-2022-AVI-1100 : Multiples vulnérabilités dans Aruba EdgeConnect Enterprise Orchestrator (14 décembre 2022)

Risque(s)

• Exécution de code arbitraire à distance
• Contournement de la politique de sécurité
• Élévation de privilèges
• Injection de code indirecte à distance (XSS)
• Atteinte à la confidentialité des données
• Atteinte à l'intégrité des données

Systèmes affectés

• Aruba EdgeConnect Enterprise Orchestrator versions 9.2.x antérieures à 9.2.2.40291
• Aruba EdgeConnect Enterprise Orchestrator versions 9.1.x antérieures à 9.1.5.40037
• Aruba EdgeConnect Enterprise Orchestrator versions 9.0.x
• Aruba EdgeConnect Enterprise Orchestrator versions 8.10.x

Tous les produits Aruba EdgeConnect Enterprise Orchestrator disposant d'une version antérieure à 8.10.x et 9.0.x sont en fin de vie (EoL) et ne bénéficieront donc pas de correctif pour ces vulnérabilités.

Résumé

De multiples vulnérabilités ont été découvertes dans Aruba EdgeConnect Enterprise Orchestrator. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une atteinte à l'intégrité des données et une atteinte à la confidentialité des données.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

• Bulletin de sécurité Aruba du 13 décembre 2022
  https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2022-021.txt
• Référence CVE CVE-2022-43519
  https://www.cve.org/CVERecord?id=CVE-2022-43519
• Référence CVE CVE-2022-43520
  https://www.cve.org/CVERecord?id=CVE-2022-43520
• Référence CVE CVE-2022-43521
  https://www.cve.org/CVERecord?id=CVE-2022-43521
• Référence CVE CVE-2022-43522
  https://www.cve.org/CVERecord?id=CVE-2022-43522
• Référence CVE CVE-2022-43523
  https://www.cve.org/CVERecord?id=CVE-2022-43523
• Référence CVE CVE-2022-43524
  https://www.cve.org/CVERecord?id=CVE-2022-43524
• Référence CVE CVE-2022-43525
  https://www.cve.org/CVERecord?id=CVE-2022-43525
• Référence CVE CVE-2022-43526
  https://www.cve.org/CVERecord?id=CVE-2022-43526
• Référence CVE CVE-2022-43527
  https://www.cve.org/CVERecord?id=CVE-2022-43527
• Référence CVE CVE-2022-43528
  https://www.cve.org/CVERecord?id=CVE-2022-43528
• Référence CVE CVE-2022-43529
  https://www.cve.org/CVERecord?id=CVE-2022-43529
• Référence CVE CVE-2022-44534
  https://www.cve.org/CVERecord?id=CVE-2022-44534
• Référence CVE CVE-2022-44535
  https://www.cve.org/CVERecord?id=CVE-2022-44535