Hewlett Packard Enterprise har lansert sikkerhetsoppdateringer for en kritisk sårbarhet i ArubaOS-CX som kan gjøre det mulig for uautentiserte angripere å fjernkjøre kode med forhøyede rettigheter.
Sårbarheten, som spores som CVE-2026-73749, påvirker operativsystemet som brukes på HPE Aruba Networkings nettverkssvitsjer for bedrifter. HPE oppfordrer kundene på det sterkeste til å oppgradere til en rettet versjon.
Kritisk sårbarhet muliggjør ekstern kjøring av kode
Sårbarheten i ArubaOS-CX er en bufferoverflyt i en daemonprosess. En angriper kan utnytte den ved å sende spesiallagde pakker til den berørte tjenesten.
Vellykket utnyttelse kan gjøre det mulig for angriperen å kjøre kode med forhøyede rettigheter på den berørte enheten. Angrepet krever ingen autentisering, noe som gjør eksponerte eller tilgjengelige enheter til en prioritet for oppdatering.
ArubaOS-CX kjører på nettverkssvitsjer som ofte brukes av store bedrifter, offentlige etater, universiteter, helseorganisasjoner, datasentre og tjenesteleverandører.
Rettede ArubaOS-CX-versjoner
HPE har lansert følgende rettede versjoner:
- ArubaOS-CX 10.18.0001: oppgrader til 10.18.1002 eller nyere
- ArubaOS-CX 10.17.1021 og tidligere: oppgrader til 10.17.1030 eller nyere
- ArubaOS-CX 10.16.1051 og tidligere: oppgrader til 10.16.1060 eller nyere
- ArubaOS-CX 10.13.1180 og tidligere: oppgrader til 10.13.1190 eller nyere
- ArubaOS-CX 10.10.1180 og tidligere: oppgrader til 10.10.1181 eller nyere
Versjon 10.10.1181 har nådd slutten av vedlikeholdsperioden. HPE bemerket at den kun mottar rettelser for internt oppdagede kritiske problemer, inkludert dette.
Oppdateringspakken retter flere sårbarheter
HPEs sikkerhetsbulletin dekker også 23 ytterligere sikkerhetssårbarheter, hvorav flere er klassifisert med høy alvorlighetsgrad. Problemene inkluderer sårbarheter som kan muliggjøre tjenestenektangrep, kommandokjøring, vilkårlig filskriving, omgåelse av autentisering og rettighetseskalering.
Andre sårbarheter påvirker ArubaOS-CXs webbaserte administrasjonsgrensesnitt, kommandolinjegrensesnitt og API-endepunkter. Noen krever tilgang med lave rettigheter, mens andre bare krever tilgang til et tilstøtende nettverk.
HPE opplyste at selskapet ikke var kjent med aktiv utnyttelse eller offentlig tilgjengelige proof-of-concept-utnyttelser for de oppførte sårbarhetene da bulletinen ble publisert. Likevel bør organisasjoner identifisere berørte svitsjer og installere de tilgjengelige oppdateringene så snart som mulig.
0 responses to “HPE retter kritisk sårbarhet i ArubaOS-CX”