HPE åtgärdar kritisk sårbarhet i ArubaOS-CX

Hewlett Packard Enterprise har släppt säkerhetsuppdateringar för en kritisk sårbarhet i ArubaOS-CX som kan göra det möjligt för oautentiserade angripare att fjärrköra kod med förhöjda behörigheter.

Sårbarheten, som spåras som CVE-2026-73749, påverkar operativsystemet som används i HPE Aruba Networkings switchar för företagsnätverk. HPE uppmanar starkt kunder att uppgradera till en åtgärdad version.

Kritisk sårbarhet möjliggör fjärrkörning av kod

Sårbarheten i ArubaOS-CX är ett buffertspill i en daemonprocess. En angripare kan utnyttja den genom att skicka särskilt utformade paket till den berörda tjänsten.

Ett framgångsrikt utnyttjande kan göra det möjligt för angriparen att köra kod med förhöjda behörigheter på den berörda enheten. Attacken kräver ingen autentisering, vilket gör exponerade eller åtkomliga enheter till en prioritet för uppdatering.

ArubaOS-CX körs på nätverksswitchar som ofta används av stora företag, myndigheter, universitet, vårdorganisationer, datacenter och tjänsteleverantörer.

Åtgärdade ArubaOS-CX-versioner

HPE har släppt följande åtgärdade versioner:

• ArubaOS-CX 10.18.0001: uppgradera till 10.18.1002 eller senare
• ArubaOS-CX 10.17.1021 och tidigare: uppgradera till 10.17.1030 eller senare
• ArubaOS-CX 10.16.1051 och tidigare: uppgradera till 10.16.1060 eller senare
• ArubaOS-CX 10.13.1180 och tidigare: uppgradera till 10.13.1190 eller senare
• ArubaOS-CX 10.10.1180 och tidigare: uppgradera till 10.10.1181 eller senare

Version 10.10.1181 har nått slutet av sin underhållsperiod. HPE noterade att den endast får korrigeringar för internt upptäckta kritiska problem, inklusive detta.

Uppdateringspaketet åtgärdar ytterligare sårbarheter

HPE säkerhetsbulletin omfattar även 23 ytterligare säkerhetsbrister, varav flera klassificeras som allvarliga. Problemen inkluderar sårbarheter som kan möjliggöra överbelastningsattacker, kommandokörning, godtycklig filskrivning, kringgående av autentisering och privilegieeskalering.

Andra sårbarheter påverkar ArubaOS-CX webbhanteringsgränssnitt, kommandoradsgränssnitt och API-slutpunkter. Vissa kräver åtkomst med låga behörigheter, medan andra endast kräver åtkomst till ett närliggande nätverk.

HPE uppgav att företaget inte kände till någon aktiv exploatering eller några offentliga proof-of-concept-exploateringar för de listade sårbarheterna när bulletinen publicerades. Trots detta bör organisationer identifiera berörda switchar och installera de tillgängliga uppdateringarna så snart som möjligt.