HPE Aruba: 72 sérülékenység, nyolc kritikus
A Hewlett Packard Enterprise rendkívüli biztonsági közleményt adott ki az Aruba Networking vezeték nélküli hálózati rendszereiről. A HPESBNW05162 jelű figyelmeztetés 72 sérülékenységet sorol fel, amelyek közül nyolc a maximális, 10,0-s CVSS pontszámot kapta.
A hibák az ArubaOS AOS-8 és AOS-10 rendszereket érintik, így vállalati hozzáférési pontok, routerek és Mobility Conductor eszközök is veszélyben lehetnek. Több sérülékenység hitelesítés nélkül kihasználható, és akár rendszergazdai jogosultság megszerzéséhez vagy távoli kódfuttatáshoz vezethet.
A CVE-2026-79850 az AOS-8 hitelesítésének megkerülését és root jogosultságú parancsvégrehajtást tehet lehetővé. A CVE-2026-79855 az SSH-szolgáltatáson keresztül biztosíthat illetéktelen adminisztrátori hozzáférést. Az AOS-10 rendszerben a CVE-2026-79845 az Aruba PAPI menedzsmentprotokollját érinti, míg a CVE-2026-79847 és CVE-2026-79851 puffertúlcsordulás révén vezethet kódfuttatáshoz. A további hibák között SQL-injekciók és parancsinjektálási sérülékenységek is szerepelnek.
A HPE az AOS-10 esetében a 10.8.1.2, 10.7.2.7 vagy 10.4.1.14, az AOS-8 esetében pedig a 8.13.3.1 vagy 8.10.0.24 verzióra történő frissítést javasolja, az alkalmazott kiadási ágtól függően.
A frissítésig a menedzsmentfelületeket elkülönített VLAN-ra kell korlátozni, tűzfalszabályokkal védeni és fokozott naplózást alkalmazni. A támogatásból kikerült verziókat is potenciálisan érintettnek kell tekinteni.
A gyártó a közlemény kiadásakor nem tudott nyilvános exploitkódról vagy a sérülékenységek nyilvános tárgyalásáról.
