CVE-2026-23813 — Bypass de Autenticação Pré-Auth do AOS-CX

Atacantes remotos não autenticados podem acessar a API REST de gerenciamento do AOS-CX ao contrabandear um token login através da regex de versão excessivamente permissiva do nginx, expondo a superfície de configuração baseada em OVSDB (incluindo a credencial de administrador com hash).

• CVE: CVE-2026-23813
• CWE-287 · CVSS 9.8 (Crítico)
• Fornecedor: HPE Aruba Networking · Produto: AOS-CX
• Write-up: offseckit.com/blog/cve-2026-23813

Versões afetadas

Início rápido

Verificar se um dispositivo está corrigido (defensores)

python3 detect.py <host[:port]>

Envia um único GET somente leitura. Exibe PATCHED, VULNERABLE ou UNKNOWN. Não faz alterações. Adequado para varreduras de inventário.

Entender o bypass (pesquisadores)

python3 bypass_demo.py <host[:port]>

Envia o mesmo endpoint duas vezes — uma normalmente, outra com o contrabando — e exibe os códigos de resposta lado a lado. Nenhuma alteração de estado. Veja docs/root-cause.md para entender o porquê.

Demonstrar o impacto no 10.10.x (somente testes autorizados)

python3 exploit.py <host[:port]>

Somente AOS-CX 10.10.x. Cria um checkpoint pelo caminho não autenticado, lê a configuração em execução completa, exibe o hash do administrador. O bypass entre branches funciona em todas as versões afetadas, mas esta cadeia de divulgação de configuração depende de comportamento do backend específico do branch 10.10. O checkpoint persiste no dispositivo — os endpoints REST acessíveis através do bypass não aceitam DELETE; remova-o via console / sessão autorizada, se necessário.

Arquivos

Requisitos

Python 3.8+ e requests:

pip install requests

Créditos

Análise independente pós-patch e PoC por 4252nez — artigo no OffSecKit. A vulnerabilidade original foi reportada por moonv através do programa HPE Bugcrowd; este repositório não tem afiliação com esse relatório.

Licença

MIT — veja LICENSE.