⚠️ Offenlegungsstatus: Alle Befunde in diesem Repository wurden zwischen Mai und Juni 2026 beim HPE Networking Bug-Bounty-Programm (Bugcrowd) eingereicht. Fünf von sechs Einsendungen wurden auf Triage-Ebene als "Not Applicable" geschlossen, ohne technische Abgleichung der eingereichten Beweise. Bis Juni 2026 wurden keine Fixes veröffentlicht.

Quellen: Vollständige Ausarbeitungen

https://netacoding.com/posts/ghost-leak/

https://netacoding.com/posts/smurf-reflection/

https://netacoding.com/posts/xxe-ssrf/

HPE-Aruba-AOS8-Vulnerabilities

ArubaOS 8.13.2.0 Pre-Auth-Angriffsflächenforschung. XXE+SSRF, ICMP Reflexion, Buffer-Over-Read, hartcodierte Anmeldedaten — alles an HPE Bugcrowd eingereicht, als N/A markiert. Keine Fixes veröffentlicht.

ArubaOS 8.13.2.0 Sicherheitsforschung

Forscher: Vesqer / JM00NJ
Blog: netacoding.com
Ziel: HPE Aruba Networking Wireless — AOS-8-Controller
Version: ArubaOS 8.13.2.0 LSR (Build 95415, kompiliert 2026-03-25)
Modell: ArubaMC-VA-US
Programm: HPE Networking Product Public Program (Bugcrowd)
Forschungszeitraum: Mai–Juni 2026

---

Übersicht

Dieses Repository dokumentiert Sicherheitsforschung, die im Rahmen des HPE Networking Bug-Bounty-Programms auf Bugcrowd an ArubaOS 8.13.2.0 LSR durchgeführt wurde. Die gesamte Forschung wurde auf einer autorisierten Laborinstanz (virtuelle Maschine ArubaMC-VA-US) unter Verwendung der vom Programm unter dem offiziellen Firmware-Link bereitgestellten Firmware-Images und OVA durchgeführt.

Sechs Schwachstellen wurden identifiziert und eingereicht. Die Befunde umfassen den ICMP-IP-Stack, die XML-Verwaltungsschnittstelle (Port 32000) und den FTP-Dienst (Port 21). Sämtliche Tests erfolgten ohne Authentifizierung (Pre-Auth) — für keines der hier dokumentierten Befunde wurden Admin-Anmeldedaten oder aktive Sitzungen verwendet.

---

Befunde

#	Titel	Einsendung	CWE	CVSS	Status
1	Pre-Auth XXE → HTTP SSRF	9e946ca3	CWE-611	9.3 Kritisch	N/A — RaR ohne Antwort abgelaufen
2	ICMP Reflection + Smurf	09e49fa1	CWE-290, CWE-406	7.4 Hoch	N/A
3	Ghost Leak	c5eda0ae	CWE-126, CWE-1284, CWE-354	6.5 Mittel	N/A — RaR eingereicht
4	Pre-Auth XXE → FTP SSRF mit RETR	0c716fec	CWE-611	—	N/A
5	Hartcodierte FTP-Anmeldedaten / sap:x (CWE-798	d13d0e83	CWE-798, CWE-125	—	Aktiv — Keine Antwort
6	ICMP-Payload-Relay — Zero DPI	b5727197	CWE-20, CWE-693	—	N/A

---

Angriffsfläche

Alle dokumentierten Befunde erfolgen ohne Authentifizierung. Die Angriffsfläche besteht aus drei Komponenten:

ArubaOS 8.13.2.0 LSR
│
├── Port 32000/TCP  XML Management Interface
│   ├── [1] Pre-auth XXE → HTTP SSRF        (9e946ca3)
│   └── [4] Pre-auth XXE → FTP SSRF         (0c716fec) [pending]
│
├── IP/ICMP Stack
│   ├── [2] ICMP Reflection + Smurf          (09e49fa1)
│   ├── [3] Ghost Leak — IP Length over-read (c5eda0ae)
│   └── [6] ICMP Payload Relay / Zero DPI    (b5727197)
│
└── Port 21/TCP  FTP Service (vsftpd)
    └── [5] Hardcoded credential sap:x       (d13d0e83) [pending]

---

Technische Zusammenfassung

Befund 1 — Pre-Auth XXE → HTTP SSRF

Der XML-Parser auf Port 32000 löst SYSTEM-Deklarationen externer Entitäten ohne Authentifizierung auf. Bestätigt durch:

• Paketmitschnitt auf Wire-Level: vom Controller initiierte Anfrage GET /test HTTP/1.0 an die Infrastruktur des Angreifers
• Eigenes sshd-Protokoll des Zielsystems: Bad protocol version identification 'GET / HTTP/1.0' from 127.0.0.1 — serverseitiger Nachweis der SSRF-Ausführung, vom Controller selbst aufgezeichnet
• Externe DTD wurde 3-mal unabhängig vom HTTP-Server des Angreifers abgerufen
• 9 interne Ports wurden über <dialog>success</dialog>-SSRF-Antworten als offen bestätigt

Triage-Antwort: "theoretical / no valid PoC" — nach vier Beweisstücken, einschließlich des sshd-Protokolls, nicht behandelt. Die erste RaR lief ohne Antwort ab.

---

Befund 2 — ICMP-Reflexion + Smurf-Verstärkung

Der ICMP-Echo-Handler validiert Quell-IP-Adressen weder anhand der ARP-Tabellenbindungen noch wendet er Reverse-Path-Filtering (BCP38/uRPF) an. Gefälschte ICMP-Echo-Requests führen dazu, dass der Controller unaufgeforderte Antworten an die gefälschte Quelle liefert. Broadcast-Quelladressen führen dazu, dass der Controller an ff:ff:ff:ff:ff:ff antwortet und die Antwort an alle Hosts im L2-Segment zustellt.

Nachweis: Zwei unabhängige Paketmitschnitte von zwei physisch getrennten Maschinen. Der Mitschnitt auf der Opferseite zeigt eine unaufgeforderte Echo-Reply an einem Host, der keinerlei ICMP-Requests gesendet hat.

Triage-Antwort: "expected network functionality" — der Opfer-seitige pcap wurde nicht behandelt.

---

Befund 3 — Ghost Leak (TTL=0 + IP-Total-Length-Überlesen)

Der ICMP-Echo-Handler vertraut IP_Total_Length, ohne die tatsächliche Größe des empfangenen Frames zu validieren. Wird IP_Total_Length=46 bei tatsächlichen IP-Daten von 28 Bytes gesendet, liest der Handler 18 Bytes über die Paketgrenze hinaus aus dem Netzwerk-Empfangspuffer und gibt diese Bytes in der Antwort wieder.

Der Angriff verwendet TTL=0-Pakete (RFC 791 schreibt deren Verwerfung vor), wodurch er für Router, IDS, Firewalls und Protokollierungssysteme unsichtbar ist. 27/27 präparierte TTL=0-Pakete erhielten Antworten — 100% Antwortrate.

Gleicher Mechanismus wie CVE-2003-0001 (EtherLeak) und CVE-2021-3031 (Palo Alto PAN-OS), beide von den jeweiligen Herstellern akzeptiert.

Triage-Antwort: "only zeroed bytes" — die saubere Padding-Eigenschaft der virtuellen VirtualBox-NIC wurde als Abwesenheit einer Schwachstelle interpretiert.

---

Firmware-Analyse

Im Rahmen der Untersuchung zu Befund 5 (hier nicht veröffentlicht) wurden die über den FTP-Dienst verteilten AP-Firmware-Images per Reverse Engineering analysiert. Wichtige Erkenntnisse aus der statischen Analyse aller vier Firmware-Images:

Firmware-Format: Aruba Image Container (.ari) — LZMA-komprimiert, nicht verschlüsselt. Der Body verwendet Codesignierung (X.509) anstelle einer Vertraulichkeitsverschlüsselung.

Abgedeckte AP-Plattformen:

Datei	Plattform	SoC	Arch	Kernel	AP-Modelle
ipq40xx.ari	30x	Qualcomm IPQ40xx	ARM32 Cortex-A7	Linux 3.12.19-rt30	AP-303/303H/303P/304/305/365/367
ipq806x.ari	32x	Qualcomm IPQ806x	ARM32 Cortex-A7	Linux 3.12.19-rt30	IPQ806x-Serie
arm64.ari	51x	Broadcom BCM94908	ARM64 Cortex-A53	Linux 4.1.45	ARM64-AP-Serie
ipq807x.ari	53x	Qualcomm IPQ8074	ARM64 Cortex-A53	Linux 4.1.45	AP-534/535/555/584/587

Bemerkenswerte Firmware-Erkenntnisse: