CVE-2024-31471 — 神龙十问 AI 深度分析摘要

🚨 **本质**：ArubaOS/InstantOS 存在 **PAP** 相关安全漏洞。 💥 **后果**：CVSS 评分极高（H/H/H），可能导致 **机密性、完整性、可用性** 全面崩溃。

🔍 **缺陷点**：源于 **PAP** (Password Authentication Protocol) 处理逻辑。 ⚠️ **CWE**：数据中未提供具体 CWE ID，但通常涉及认证绕过或弱加密。

🏢 **厂商**：HPE / Aruba Networks。 📦 **受影响产品**： - **AOS-8 Instant** - **AOS-10 AP** (ArubaOS 及 InstantOS 系统)。

👮 **权限**：攻击者无需认证 (PR:N)。 📂 **数据**：可获取 **高** 机密性信息 (C:H)。 💣 **影响**：可完全控制或破坏系统 (I:H, A:H)。

🚪 **门槛**：**极低**。 - **网络访问**：AV:N (网络远程) - **复杂度**：AC:L (低) - **用户交互**：UI:N (无需交互) - **权限**：PR:N (无需认证)

💣 **Exp/PoC**：数据中 **pocs** 字段为空。 🌍 **在野**：无明确在野利用报告提及，但鉴于 CVSS 满分潜力，风险极高。

🔎 **自查特征**： 1. 检查 Aruba 设备是否为 **AOS-8** 或 **AOS-10** 版本。 2. 关注 **PAP** 认证相关的网络流量或配置。 3. 扫描 HPE 官方支持页面确认版本状态。

🛡️ **官方修复**： - 发布日期：**2024-05-14**。 - 参考文档：**ARUBA-PSA-2024-006**。 - 建议立即查阅 HPE 支持链接获取补丁。

⏸️ **临时规避**： - 限制对 Aruba 管理接口的 **网络访问**。 - 若可能，暂时禁用 **PAP** 认证方式，改用更安全的协议（如 EAP-TLS）。 - 实施严格的 **ACL** 策略。

🔥 **优先级**：**紧急 (Critical)**。 - CVSS 向量显示为 **高危**。 - 无需认证即可利用。 - **行动**：立即打补丁或实施网络隔离。