攻击面

所有记录的发现均为预认证（pre-authentication）攻击。攻击面由三个组件构成：

技术摘要

发现 1 — 预认证 XXE → HTTP SSRF

端口 32000 上的 XML 解析器可在无需认证的情况下解析 SYSTEM 外部实体声明。已通过以下方式确认：

• 线路级数据包捕获：控制器向攻击者基础设施发起 GET /test HTTP/1.0
• 目标系统自身 sshd 日志：Bad protocol version identification 'GET / HTTP/1.0' from 127.0.0.1 — 由控制器自身记录的 SSRF 执行的服务器端证据
• 外部 DTD 被从攻击者 HTTP 服务器独立获取 3 次
• 通过 <dialog>success</dialog> SSRF 响应确认 9 个内部端口开放

分类回复：“理论性 / 无有效 PoC” — 在提交了包括 sshd 日志在内的四项证据后仍未得到处理。第一次 RaR 过期且未获答复。

发现 2 — ICMP 反射 + Smurf 放大攻击

ICMP Echo 处理器不会根据 ARP 表绑定校验源 IP 地址，也不会应用反向路径过滤（BCP38/uRPF）。伪造的 ICMP Echo Request 会促使控制器向伪造的源地址发送未经请求的回复。广播源地址则会使控制器向 ff:ff:ff:ff:ff:ff 回复，从而将回复投递给 L2 网段上的所有主机。

证据：来自两台物理上分离的机器的两份独立数据包捕获。受害者侧捕获显示，一个从未发送任何 ICMP 请求的主机收到了未经请求的 Echo Reply。

分类回复：“预期的网络功能” — 受害者侧 pcap 未被处理。

发现 3 — Ghost Leak（TTL=0 + IP 总长度过读）

ICMP Echo 处理器信任 IP_Total_Length，而不根据实际接收的帧大小进行校验。发送 IP_Total_Length=46 但实际 IP 数据仅有 28 字节的数据包，会促使处理器从网络接收缓冲区中越界读取 18 字节，并在回复中原样回显这些字节。

该攻击利用 TTL=0 数据包（RFC 791 规定应将其丢弃），从而使其对路由器、IDS、防火墙和日志系统均不可见。27/27 个精心构造的 TTL=0 数据包均收到了回复——响应率达到 100%。

与 CVE-2003-0001（EtherLeak）和 CVE-2021-3031（Palo Alto PAN-OS）机制相同，二者均已被各自厂商接受。

分类回复：“仅为零字节” — 将 VirtualBox 虚拟网卡的填充字节归零特性归因于不存在漏洞。

固件分析

作为发现 5（此处未发布）研究的一部分，我们对通过 FTP 服务分发的 AP 固件镜像进行了逆向工程。以下是对全部四个固件镜像进行静态分析得到的关键发现：

固件格式： Aruba Image Container (.ari) — LZMA 压缩，未加密。主体使用代码签名（X.509）而非保密加密。

覆盖的 AP 平台：

值得注意的固件发现：

• 全部四个固件镜像的文件末尾均包含明文 X.509 DER 证书，由 Aruba Networks Code Signing CA1 签名，其 Subject CN 格式为 ARUBA-PROD-{SERIAL}::{MAC}，内嵌真实的量产 AP MAC 地址
• 相同的两个证书出现在全部四个固件平台中（跨平台身份复用）
• Linux 3.12.19（ARM32 AP）— 自 2014 年起已停止支持（EOL）。Linux 4.1.45（ARM64 AP）— 自约 2022 年起已停止支持（EOL）
• arm64.ari 包含 /dev/tpm-cert（TPM 芯片）、MACsec 硬件（EIP-62/EIP-217）、gponPassword 函数
• 固件字符串中暴露的内部 AP 代号：Glenmorangie（AP-304/305）、Aberlour（AP-303H）、Bunker（AP-365/367）、Aultmore（AP-555）、Hendricks（AP-58x）
• 暴露的构建服务器主机名：jenkins@c96556966d48、jenkins@317fcb08bd82、jenkins@aec499ab9b0f、jenkins@352b80449f0a

时间线

关于分类模式的说明

六份提交中有五份收到了 N/A 回复。唯一进入厂商审核的那份提交（d13d0e83），恰恰是影响演示最直观的一份（凭据 → 文件下载）。其余五份——其中包括线路级 pcap 证据、服务器端守护进程日志以及直接的 CVE 先例引用——均在分类阶段即被关闭。

就发现 1 而言，第一次请求回复（Request for Response）过期且未收到任何答复。就发现 2、3 和 6 而言，分类回复并未针对所提交的具体证据。在任何情况下，分类关闭决定均未与所附证据进行技术性核对。

诚邀安全社区审阅各份独立报告，并自行作出评估。

负责任披露

所有发现均已在发布前提交至 Bugcrowd 上的 HPE Networking Product Public Program。该计划已将发现 1、2、3、4、5 和 6 归类为非漏洞。

Vesqer / JM00NJ — netacoding.com — github.com/JM00NJ