CVE-2026-23813 — Omisión de Autenticación Pre-Auth en AOS-CX

Atacantes remotos no autenticados pueden alcanzar la API REST de gestión de AOS-CX contrabandeando un token login a través de la expresión regular demasiado permisiva de nginx sobre versiones, exponiendo la superficie de configuración respaldada por OVSDB (incluyendo la credencial de administrador con hash).

• CVE: CVE-2026-23813
• CWE-287 · CVSS 9.8 (Critical)
• Proveedor: HPE Aruba Networking · Producto: AOS-CX
• Artículo: offseckit.com/blog/cve-2026-23813

Versiones afectadas

Inicio rápido

Verificar si un dispositivo está parcheado (defensores)

python3 detect.py <host[:port]>

Envía un GET de solo lectura. Imprime PATCHED, VULNERABLE o UNKNOWN. No realiza cambios. Adecuado para barridos de inventario.

Entender la omisión (investigadores)

python3 bypass_demo.py <host[:port]>

Envía el mismo endpoint dos veces — una normalmente, otra con el contrabando — e imprime los códigos de respuesta lado a lado. Sin cambio de estado. Vea docs/root-cause.md para el por qué.

Demostrar el impacto en 10.10.x (solo pruebas autorizadas)

python3 exploit.py <host[:port]>

Solo AOS-CX 10.10.x. Crea un checkpoint a través de la ruta no autenticada, lee la configuración activa completa, imprime el hash del administrador. La omisión entre ramas funciona en todas las versiones afectadas, pero esta cadena de divulgación de configuración depende de un comportamiento del backend específico de la rama 10.10. El checkpoint persiste en el dispositivo — los endpoints REST accesibles a través de la omisión no aceptan DELETE; elimínelo mediante consola/sesión autorizada si es necesario.

Archivos

Requisitos

Python 3.8+ y requests:

pip install requests

Créditos

Análisis posterior al parche independiente y PoC por 4252nez — artículo en OffSecKit. Vulnerabilidad original reportada por moonv a través del programa HPE Bugcrowd; este repositorio no tiene afiliación con ese informe.

Licencia

MIT — consulte LICENSE.