HPE behebt kritische Schwachstelle in ArubaOS-CX

Hewlett Packard Enterprise hat Sicherheitsupdates für eine kritische Schwachstelle in ArubaOS-CX veröffentlicht, die es nicht authentifizierten Angreifern ermöglichen könnte, aus der Ferne Code mit erhöhten Berechtigungen auszuführen.

Die als CVE-2026-73749 verfolgte Schwachstelle betrifft das Betriebssystem, das auf Enterprise-Switches von HPE Aruba Networking eingesetzt wird. HPE empfiehlt Kunden dringend, auf eine korrigierte Version zu aktualisieren.

Kritische Schwachstelle ermöglicht Remote-Codeausführung

Bei der ArubaOS-CX-Schwachstelle handelt es sich um einen Pufferüberlauf in einem Daemon-Prozess. Ein Angreifer kann sie ausnutzen, indem er speziell präparierte Pakete an den betroffenen Dienst sendet.

Eine erfolgreiche Ausnutzung könnte es dem Angreifer ermöglichen, Code mit erhöhten Berechtigungen auf dem betroffenen Gerät auszuführen. Der Angriff erfordert keine Authentifizierung, weshalb exponierte oder erreichbare Geräte vorrangig aktualisiert werden sollten.

ArubaOS-CX läuft auf Netzwerk-Switches, die häufig von großen Unternehmen, Behörden, Universitäten, Gesundheitsorganisationen, Rechenzentren und Dienstanbietern eingesetzt werden.

Korrigierte ArubaOS-CX-Versionen

HPE hat die folgenden korrigierten Versionen veröffentlicht:

• ArubaOS-CX 10.18.0001: Upgrade auf 10.18.1002 oder höher
• ArubaOS-CX 10.17.1021 und früher: Upgrade auf 10.17.1030 oder höher
• ArubaOS-CX 10.16.1051 und früher: Upgrade auf 10.16.1060 oder höher
• ArubaOS-CX 10.13.1180 und früher: Upgrade auf 10.13.1190 oder höher
• ArubaOS-CX 10.10.1180 und früher: Upgrade auf 10.10.1181 oder höher

Die Version 10.10.1181 hat das Ende ihres Wartungszeitraums erreicht. HPE wies darauf hin, dass sie nur noch Korrekturen für intern entdeckte kritische Probleme erhält, darunter auch dieses.

Update-Paket behebt weitere Schwachstellen

Das Sicherheitsbulletin von HPE behandelt außerdem 23 weitere Sicherheitslücken, von denen mehrere mit einem hohen Schweregrad eingestuft wurden. Dazu gehören Schwachstellen, die Denial-of-Service-Angriffe, Befehlsausführung, beliebiges Schreiben von Dateien, die Umgehung der Authentifizierung und Rechteausweitung ermöglichen könnten.

Weitere Schwachstellen betreffen die Web-Verwaltungsoberfläche, die Befehlszeilenschnittstelle und API-Endpunkte von ArubaOS-CX. Einige erfordern Zugriff mit geringen Berechtigungen, während für andere lediglich Zugriff aus einem angrenzenden Netzwerk erforderlich ist.

HPE erklärte, dass dem Unternehmen zum Zeitpunkt der Veröffentlichung des Bulletins keine aktive Ausnutzung oder öffentlich verfügbaren Proof-of-Concept-Exploits für die aufgeführten Schwachstellen bekannt waren. Dennoch sollten Organisationen betroffene Switches identifizieren und die verfügbaren Updates so schnell wie möglich installieren.