HPE випустила патчі для 8 критичних уразливостей в ArubaOS
Hewlett Packard Enterprise закрила 72 уразливості в ArubaOS, зокрема вісім максимального рівня небезпеки з обходом автентифікації та віддаленим виконанням коду.
Hewlett Packard Enterprise (HPE) випустила оновлення безпеки для ArubaOS, якими закрито 72 уразливості, включно з вісьмома найвищої критичності, що дають змогу обходити автентифікацію та виконувати код віддалено.
Що під загрозою
ArubaOS (AOS) використовується в корпоративній бездротовій інфраструктурі Aruba Networking — зокрема на mobility conductors, точках доступу, контролерах і шлюзах. За даними компанії, вісім максимальних за критичністю багів зачіпають низку версій AOS-8 та AOS-10 і можуть експлуатуватися віддалено без прав доступу, через нескладні атаки без участі користувача.
Найкритичніші CVE
- CVE-2026-79844 — обхід автентифікації з RCE в AOS-10
- CVE-2026-79845 — обхід автентифікації в протоколі PAPI AOS-10
- CVE-2026-79846 — неавтентифіковане впорскування команд в AOS-8
- CVE-2026-79847 — неавтентифіковане переповнення буфера з RCE в AOS-10
- CVE-2026-79848 — неавтентифікований SQL-інʼєкшн з RCE в AOS-8
- CVE-2026-79849 — неавтентифікований SQL-інʼєкшн з RCE в AOS-8
- CVE-2026-79850 — обхід автентифікації з RCE в AOS-8
- CVE-2026-79851 — неавтентифіковане переповнення буфера з RCE в AOS-10
Рекомендації HPE
HPE закликає клієнтів якнайшвидше встановити патчі та обмежити доступ до інтерфейсів керування AOS. Компанія радить винести CLI й веб-інтерфейси в окремий сегмент L2/VLAN та/або контролювати їх політиками брандмауера на L3+, із обліком і журналюванням дій користувачів.
Виробник зазначає, що станом на дату публікації не виявлено публічних експлойтів чи свідчень активної експлуатації перелічених вразливостей.
Контекст: серія виправлень HPE
У червні 2025 року HPE вже латала вісім критичних уразливостей у StoreOnce, які також дозволяли обхід автентифікації та RCE. У липні того ж року компанія попередила про вшиті облікові дані в Aruba Instant On Access Points, що давали змогу обходити автентифікацію пристрою.
У січні 2025 року американська CISA позначила уразливість максимального рівня в HPE OneView як таку, що використовується в атаках. Нещодавно HPE також попереджала про критичні баги в AOS-CX, які дають можливість скидання паролів адміністратора та віддалене виконання коду на непатчених пристроях.
