CVE-2026-23813 — Обход аутентификации до авторизации в AOS-CX

Неаутентифицированные удаленные злоумышленники могут получить доступ к REST API управления AOS-CX, проталкивая токен login через излишне разрешающую регулярную версию nginx, открывая поверхность конфигурации на основе OVSDB (включая хешированные учетные данные администратора).

• CVE: CVE-2026-23813
• CWE-287 · CVSS 9.8 (Критический)
• Вендор: HPE Aruba Networking · Продукт: AOS-CX
• Статья: offseckit.com/blog/cve-2026-23813

Затронутые версии

Быстрый старт

Проверка наличия исправления на устройстве (для защитников)

python3 detect.py <host[:port]>

Отправляет один GET-запрос только для чтения. Выводит PATCHED, VULNERABLE или UNKNOWN. Не вносит никаких изменений. Подходит для инвентаризационных обходов.

Понимание обхода (для исследователей)

python3 bypass_demo.py <host[:port]>

Отправляет одну и ту же конечную точку дважды — один раз нормально, один раз с проталкиванием — и выводит коды ответов рядом. Без изменения состояния. См. docs/root-cause.md для объяснения почему.

Демонстрация воздействия на 10.10.x (только авторизованное тестирование)

python3 exploit.py <host[:port]>

Только AOS-CX 10.10.x. Создает контрольную точку через неаутентифицированный путь, читает полную текущую конфигурацию, выводит хеш администратора. Обход между ветками работает на всех затронутых версиях, но эта цепочка раскрытия конфигурации зависит от поведения бэкенда, характерного для ветки 10.10. Контрольная точка сохраняется на устройстве — конечные точки REST, доступные через обход, не принимают DELETE; удалите ее через консоль / авторизованную сессию при необходимости.

Файлы

Требования

Python 3.8+ и requests:

pip install requests

Авторы

Независимый анализ после исправления и PoC от 4252nez — статья на OffSecKit. Оригинальная уязвимость сообщена moonv через программу HPE Bugcrowd; этот репозиторий не имеет отношения к тому отчету.

Лицензия

MIT — см. LICENSE.