HPE remediază opt vulnerabilități de severitate maximă în ArubaOS, inclusiv execuție de cod fără autentificare

HPE a publicat un aviz de securitate pentru sistemele de operare de rețea AOS-8 și AOS-10, anunțând remedieri pentru 72 de CVE-uri și atribuind unui grup de opt vulnerabilități scorul maxim CVSS v3.1, de 10.0. Produsele afectate includ Mobility Conductors, Mobility Controllers, Gateway-uri gestionate prin Central, puncte de acces AOS-10 și puncte de acces Instant AOS-8. Problemele sunt importante deoarece mai multe pot fi exploatate prin rețea, fără autentificare sau interacțiunea utilizatorului, și pot permite executarea de comenzi ori cod cu privilegii ridicate. Avizul distinge și o vulnerabilitate de ocolire a autentificării care oferă capabilități administrative, dar pe care HPE nu o descrie drept execuție de cod la distanță.

Cele opt probleme cu severitate maximă sunt CVE-2026-79844 până la CVE-2026-79851 și afectează versiuni AOS și suprafețe de atac diferite. În AOS-10, CVE-2026-79844 este o ocolire a autentificării care poate duce la executarea arbitrară de comenzi dacă sunt îndeplinite condiții suplimentare, nedivulgate, aflate în afara controlului atacatorului, în timp ce CVE-2026-79847 și CVE-2026-79851 sunt vulnerabilități de tip buffer overflow care pot permite executarea de cod cu drepturi de utilizator privilegiate. Problemele din AOS-8 includ command injection, SQL injection și ocolirea autentificării; CVE-2026-79848 și CVE-2026-79849 pot conduce la executarea de comenzi, iar CVE-2026-79850 poate permite acest lucru cu privilegii root. CVE-2026-79846 implică, de asemenea, command injection, dar necesită condiții suplimentare externe, în timp ce CVE-2026-79845 afectează PAPI în AOS-10 și poate permite acces de administrator, modificarea configurației și accesarea ori manipularea datelor sensibile; HPE nu o caracterizează drept RCE.

Acestea sunt vulnerabilități distincte și căi alternative de atac, nu etape ale unui singur lanț de exploatare, iar exploatarea depinde de accesibilitatea prin rețea și de modelele și versiunile de dispozitive afectate. Administratorii ar trebui să consulte avizul HPE pentru identificarea produselor vizate și să instaleze actualizările relevante; articolul furnizat nu precizează versiunile corectate. Dezvăluirea subliniază importanța securizării accesului la interfețele de administrare și control pe durata aplicării patch-urilor.