Sicherheitswarnung von HPE vor Networking Instant On-Schwachstellen

Es gibt gleich mehrere Schwachstellen (CVE-2025-37165, CVE-2025-37166, CVE-2023-52340,
CVE-2022-48839) in HPE Instant On-Geräten (Access Points und Switches), die der Hersteller zum 13. Januar 2025 offen gelegt hat. Hier eine kurze Übersicht über dieses Thema.

Ein Blog-Leser hatte zum 15. Januar 2025 im Diskussionsbereich auf eine Sicherheitswarnung von HPE im Hinblick auf Networking Instant On-Schwachstellen hingewiesen (danke dafür). Hier der betreffende Eintrag des Lesers:

Hi,
Hab grad von HP ein security advisory für instant on APs und instant on 1930 switches bekommen.

TL;DR: Instant on APs und 1930 Switches mit Firmware älter als 3.3.1.0 sind unsicher und sollten auf 3.3.2 (oder neuer) aktualisiert werden.

Das HPE Security Advisory HPESBNW04988 rev.1 – HPE Networking Instant On, Multiple Vulnerabilities nennt die Offenlegung von Informationen; Remote: Denial-of-Service (DoS), Offenlegung von Informationen, unbefugter Zugriff auf sensible Informationen, unbefugte Offenlegung von Informationen, Wiederverwendung von Sitzungen als Probleme.

Betroffen sind HPE Networking Instant On Geräte mit Software in den Versionen bis 3.3.1.0.

• Aruba Instant On 1930 Switch Series <=3.3.1.0
• HPE Networking Instant On Access Point <=3.3.1.0

Hier die Liste der Schwachstellen:

• CVE-2025-37165: Exposure of VLAN information in unintended network interfaces;  CVSSv3.1 Overall Score: 7.5; A vulnerability in the router mode configuration of HPE Instant On Access Points exposed certain network configuration details to unintended interfaces. A malicious actor could gain knowledge of internal network configuration details through inspecting impacted
• CVE-2025-37166: Unexpected shutdown in HPE Instant On Access Points after processing specific packets; CVSSv3.1 Overall Score: 7.5;  A Vulnerability affecting HPE Networking Instant On Access Points has been identified where a device processing a specially crafted packet could enter a non-responsive state, in some cases requiring a hard reset to re-establish services. A malicious actor could leverage this vulnerability to conduct a Denial-of-Service attack on a target network.
• CVE-2023-52340, CVE-2022-48839: Multiple vulnerabilities in packet processing identified in underlying OS kernel;  CVSSv3.1 Overall Score: 7.5; Multiple vulnerabilities in the underlying OS kernel of HPE Networking Instant On devices were identified and resolved upstream by kernel developers. These vulnerabilities primarily stemmed from the processing of IPv4 and IPv6 packets by the OS, which allowed the
  potential for Denial-of-Service and memory corruption during device operation.

HPE Networking sind zum Zeitpunkt der Veröffentlichung dieser Sicherheitsempfehlung keine öffentlichen Diskussionen oder Exploit-Codes bekannt, die auf diese spezifischen Sicherheitslücken abzielen. Die Firmware-Updates für die 1930 Switches gibt es auf dieser Webseite.