Hewlett Packard Enterprise (HPE) пусна обновления за сигурност, за да отстрани 72 уязвимости в операционната система Aruba Operating System (ArubaOS), включително осем проблема с максимална степен на опасност за заобикаляне на автентикацията и отдалечено изпълнение на код.
Известна също като AOS, ArubaOS управлява корпоративната безжична инфраструктура на Aruba Networking, включително mobility conductors, точки за достъп (access points), контролери и шлюзови устройства.
Осемте пробива в сигурността с максимална степен на опасност, коригирани днес, засягат множество версии на софтуера AOS-8 и AOS-10 и могат да бъдат експлоатирани от отдалечени атакавущи без привилегии чрез атаки с ниска сложност, които не изискват взаимодействие с потребителя.
HPE предупреди клиентите да инсталират корекциите за сигурност за тези проблеми възможно най-скоро и предостави мерки за смекчаване на риска, включително ограничаване на достъпа до интерфейсите за управление на AOS.
„Клиентите настоятелно се призовават да инсталират корекции за сигурност на своите инстанции поради сложността, обхвата и въздействието на тези уязвимости“, предупреди компанията в бюлетин за сигурност от четвъртък.
„За да се сведе до минимум вероятността атакуващ да експлоатира тези уязвимости, HPE Networking препоръчва интерфейсите за управление чрез CLI и уеб да бъдат ограничени до специален сегмент/VLAN на слой 2 и/или контролирани чрез политики на защитната стена на слой 3 и по-висок, заедно с механизми за отчетност за проследяване и регистриране на потребителските дейности и използването на ресурси.“
Пълният списък с коригираните днес слабости с максимална степен на опасност може да бъде намерен в таблицата по-долу:
| CVE-ID | Уязвимост |
|---|---|
| CVE-2026-79844 | Заобикаляне на автентикацията, водещо до RCE в AOS-10 |
| CVE-2026-79845 | Заобикаляне на автентикацията в PAPI протокола на AOS-10 |
| CVE-2026-79846 | Инжектиране на команди без автентикация в AOS-8 |
| CVE-2026-79847 | Препълване на буфера без автентикация, водещо до RCE в AOS-10 |
| CVE-2026-79848 | SQL инжекция без автентикация, водеща до RCE в AOS-8 |
| CVE-2026-79849 | SQL инжекция без автентикация, водеща до RCE в AOS-8 |
| CVE-2026-79850 | Заобикаляне на автентикацията, водещо до RCE в AOS-8 |
| CVE-2026-79851 | Препълване на буфера без автентикация, водещо до RCE в AOS-10 |
Компанията добави, че към момента не е открила публично достъпен концептуален код за експлоатация (PoC) или доказателства, че тези уязвимости се експлоатират активно в реални условия.
„Към датата на публикуване на този бюлетин HPE Networking няма информация за публични дискусии или код за експлоатация, насочени към изброените уязвимости“, се казва в съобщението.
През юни 2025 г. HPE отстрани осем критични уязвимости в StoreOnce, които позволяваха заобикаляне на автентикацията и отдалечено изпълнение на код, а месец по-късно предупреди за твърдо кодирани идентификационни данни в точките за достъп Aruba Instant On, които могат да позволят на атакуващи да заобиколят автентикацията на устройството.
През януари 2025 г. Агенцията за киберсигурност и сигурност на инфраструктурата на САЩ (CISA) също отбеляза уязвимост с максимална степен на опасност в HPE OneView като експлоатирана при атаки.
По-наскоро HPE предупреди за критични уязвимости, позволяващи нулиране на администраторската парола и отдалечено изпълнение на код на неуредени с корекции за сигурност устройства с AOS-CX.
HPE има над 61 000 служители по целия свят и предоставя услуги и продукти на повече от 55 000 корпоративни клиенти в световен мащаб, включително 90% от компаниите в Fortune 500.
След като атакуващите разполагат с валидни идентификационни данни, само 37% от действията им биват блокирани
Общите резултати за превенция могат да скрият какво се случва след първоначалния достъп. Когато атакуващите използват валидни идентификационни данни, нивото на предотвратяване рязко спада.
Докладът Blue Report 2026 измерва защитите техника по техника чрез 338 милиона симулации, проведени в реални производствени среди на клиенти.