Hewlett Packard Enterprise пусна корекции за сигурност за множество уязвимости в безжичния софтуер Aruba Networking, които биха могли да позволят на атакуващи да поемат пълен контрол над засегнатите устройства.

Несъответствията засягат внедрявания на AOS-8 и AOS-10 в Mobility Conductors, контролери, шлюзове и точки за достъп. Няколко от тях позволяват атаки без валидно влизане в системата, което прави своевременното отстраняване на уязвимостите приоритет за мрежовите администратори.

HPE предупреждава за слабости в Aruba Networking

Бюлетинът за сигурност на HPE от 22 октомври, HPESBNW05162, описва уязвимости, свързани със заобикаляне на автентикацията, внедряване на команди (command injection), SQL инжекции и препълване на буфера (buffer overflow).

Осем CVE записа са с максимален резултат за тежест по CVSS от 10.0. Успешните атаки биха могли да разкрият чувствителни данни, да променят настройките на устройството или да изпълняват команди с високи системни привилегии.

Сред най-сериозните проблеми е CVE-2026-79850, който позволява на атакуващ да заобиколи автентикацията в AOS-8 без идентификационни данни и да изпълнява команди като root, осигурявайки му пълен контрол над операционната система. Отделно CVE-2026-79855 засяга услугата SSH в AOS-8 и може да предостави неоторизиран административен достъп.

AOS-10 също съдържа критични слабости. CVE-2026-79845 засяга PAPI – протокола за управление на точки за достъп на Aruba – и би могъл да позволи на атакуващи да заобиколят проверките за вход, да променят конфигурации и да получат достъп до чувствителна информация.

CVE-2026-79847 и CVE-2026-79851 включват препълване на буфера, което може да позволи стартирането на злонамерен код с повишени привилегии. Други дефекти излагат на риск услуги, достъпни чрез PAPI трафик. Атакуващите могат да задействат CVE-2026-79860 чрез изпращане на специално създадени пакети към UDP порт 8211 на засегнатите системи с AOS-8.

HPE посочва и уязвимости от тип SQL инжекция, които биха могли да надхвърлят достъпа до базата данни и да позволят изпълнение на команди в операционната система. Условията за атака варират. До някои уязвимости може да се достигне дистанционно, докато други изискват атакуващият да се намира в съседна мрежа или да има физически достъп.

Определени пропуски при изпълнението на команди зависят и от условия извън контрола на атакуващия. Не всеки описан проблем предоставя еднакъв начин за превземане на устройството.

Cybersecurity News по-рано съобщи за уязвимости за внедряване на команди в точки за достъп на Aruba и проблеми със сигурността в контролери и шлюзове с AOS. Тези по-ранни доклади засягат отделни разкрития, а не новоиздадените корекции.

Засегнатите версии включват AOS-10.8.1.1, AOS-10.7.2.6 и AOS-10.4.1.13, както и по-ранни версии в съответните клонове. AOS-8.13.3.0 и AOS-8.10.0.23 и по-ранните издания в тези клонове също са засегнати. Съвместимият хардуер и виртуалните внедрявания попадат в обхвата, дори когато отделни модели липсват в примерния списък на бюлетина.

HPE препоръчва надграждане до AOS-10.8.1.2, AOS-10.7.2.7, AOS-10.4.1.14, AOS-8.13.3.1 или AOS-8.10.0.24 в зависимост от инсталирания клон. По-новите издания в тези клонове също съдържат корекциите. Обновленията са налични през HPE Networking Support Portal.

До внедряването на обновленията HPE препоръчва ограничаване на командния ред и уеб интерфейсите за управление до отделен мрежов сегмент или VLAN, защитен с правила на защитна стена.

Администраторите трябва също така да активират контроли за проследяване и регистриране на потребителската активност. Тези мерки намаляват излагането на риск, но не заменят инсталирането на корекциите за сигурност.

От HPE заявиха, че към момента на публикуване на бюлетина нямат данни за публични обсъждания или експлойт код, насочен към тези уязвимости. Това изявление не изключва напълно възможността вече да са извършени атаки. По-старият софтуер извън период на поддръжка не трябва да се счита за безопасен и HPE настоятелно призовава клиентите да преминат към поддържани версии.