CVE-2026-23813 — AOS-CX Pre-Auth-Authentifizierungsumgehung

Nicht authentifizierte entfernte Angreifer können die AOS-CX Management REST API erreichen, indem sie ein login-Token durch die zu großzügige Versions-Regex von nginx schmuggeln und so die von OVSDB gestützte Konfigurationsfläche (einschließlich des gehashten Admin-Anmeldedatensatzes) offenlegen.

• CVE: CVE-2026-23813
• CWE-287 · CVSS 9.8 (Critical)
• Anbieter: HPE Aruba Networking · Produkt: AOS-CX
• Write-up: offseckit.com/blog/cve-2026-23813

Betroffene Versionen

Schnellstart

Prüfen, ob ein Gerät gepatcht ist (Verteidiger)

python3 detect.py <host[:port]>

Sendet einen schreibgeschützten GET. Gibt PATCHED, VULNERABLE oder UNKNOWN aus. Nimmt keine Änderungen vor. Geeignet für Inventar-Scans.

Die Umgehung verstehen (Forscher)

python3 bypass_demo.py <host[:port]>

Sendet denselben Endpunkt zweimal – einmal normal, einmal mit dem Schmuggel – und gibt die Antwortcodes nebeneinander aus. Keine Zustandsänderung. Siehe docs/root-cause.md für das Warum.

Auswirkung auf 10.10.x demonstrieren (nur autorisierte Tests)

python3 exploit.py <host[:port]>

Nur AOS-CX 10.10.x. Erstellt einen Checkpoint über den nicht authentifizierten Pfad, liest die vollständige laufende Konfiguration aus, gibt den Admin-Hash aus. Die branch-übergreifende Umgehung funktioniert auf jeder betroffenen Version, aber diese Konfigurations-Offenlegungskette beruht auf backend-spezifischem Verhalten von 10.10. Der Checkpoint bleibt auf dem Gerät bestehen – die über die Umgehung erreichbaren REST-Endpunkte akzeptieren kein DELETE; entfernen Sie ihn bei Bedarf über die Konsole / eine autorisierte Sitzung.

Dateien

Anforderungen

Python 3.8+ und requests:

pip install requests

Danksagungen

Unabhängige Post-Patch-Analyse und PoC von 4252nez – Write-up auf OffSecKit. Ursprüngliche Schwachstelle gemeldet von moonv über das HPE Bugcrowd-Programm; dieses Repository steht in keinem Zusammenhang mit diesem Bericht.

Lizenz

MIT – siehe LICENSE.