CVE-2026-23813 — AOS-CX 事前認証の認証バイパス

認証されていないリモート攻撃者は、nginx の過度に寛容なバージョン正規表現を 介して login トークンをスマグリングすることで AOS-CX 管理 REST API に到達でき、 OVSDB をバックエンドとする設定面（ハッシュ化された管理者資格情報を含む）が 露出します。

• CVE: CVE-2026-23813
• CWE-287 · CVSS 9.8（Critical）
• ベンダー: HPE Aruba Networking · 製品: AOS-CX
• 分析記事: offseckit.com/blog/cve-2026-23813

影響を受けるバージョン

クイックスタート

デバイスがパッチ適用済みか確認する（防御側）

python3 detect.py <host[:port]>

読み取り専用の GET リクエストを 1 回送信します。PATCHED、VULNERABLE、または UNKNOWN を出力します。 変更は一切行いません。インベントリの一括調査に適しています。

バイパスの仕組みを理解する（研究者向け）

python3 bypass_demo.py <host[:port]>

同じエンドポイントに通常時とスマグリング時の 2 回アクセスし、 レスポンスコードを並べて表示します。状態は変更しません。 理由については docs/root-cause.md を参照してください。

10.10.x での影響を実証する（許可されたテストのみ）

python3 exploit.py <host[:port]>

AOS-CX 10.10.x のみ。 認証なしのパスを介してチェックポイントを作成し、 実行中の設定全体を読み取り、管理者ハッシュを出力します。 クロスブランチのバイパスは影響を受けるすべてのバージョンで機能しますが、 この設定情報漏えいチェーンは 10.10 ブランチ固有のバックエンド動作に依存しています。 チェックポイントはデバイス上に残ります — バイパス経由で到達可能な REST エンドポイントは DELETE を受け付けないため、必要に応じてコンソールまたは 許可されたセッションから削除してください。

ファイル

要件

Python 3.8+ と requests:

pip install requests

クレジット

4252nez による独立したパッチ適用後分析と PoC — 記事は OffSecKit に掲載。 元の脆弱性は HPE Bugcrowd プログラムを通じて moonv によって報告されました。 このリポジトリはその報告とは一切関係ありません。

ライセンス

MIT — LICENSE を参照してください。