HPE opravila 72 zraniteľností v ArubaOS, osem má skóre CVSS 10,0
HPE vydala opravy pre 72 zraniteľností v AOS-8 a AOS-10. Osem chýb má maximálne hodnotenie CVSS 10,0 a zahŕňa vzdialené spúšťanie kódu či obchádzanie autentifikácie.
Zraniteľnosti v HPE ArubaOS sú predmetom rozsiahlej opravnej dávky pre podnikovú bezdrôtovú infraštruktúru. HPE 22. októbra 2026 vydala bezpečnostný bulletin HPESBNW05162, ktorý rieši 72 CVE v produktoch HPE Networking AOS-8 a AOS-10. Osem z nich získalo maximálne skóre CVSS 3.1 10,0.
Medzi najzávažnejšími problémami sú chyby umožňujúce obchádzanie autentifikácie, vzdialené spúšťanie kódu, SQL injection, command injection a buffer overflow. HPE vydala opravené verzie softvéru a správcom odporúča aktualizovať dotknuté systémy bez odkladu.
Zraniteľnosti v HPE ArubaOS zasahujú kontroléry aj prístupové body
Opravy sa týkajú nasadení ArubaOS na mobility conductoroch, kontroléroch, gatewayoch a vybraných prístupových bodoch. Ide o zariadenia, ktoré sú súčasťou sieťovej vrstvy podnikového prostredia a zabezpečujú správu alebo prevádzku bezdrôtovej infraštruktúry.
Podľa HPE môžu niektoré chyby pri dostupnosti dotknutého sieťového rozhrania umožniť neautentizovanému útočníkovi kompromitovať zariadenie. Pri takejto kompromitácii by útočník mohol zasiahnuť do konfigurácie siete alebo získať východiskový bod pre ďalší pohyb v prostredí.
Konkrétny rozsah rizika v jednotlivých organizáciách závisí od používanej verzie AOS a od toho, či sú správcovské alebo PAPI rozhrania dostupné zo siete.
Odporúčané opravené verzie a dočasné obmedzenia
HPE uvádza opravené buildy pre jednotlivé podporované vetvy. Správcovia majú overiť používanú verziu a nasadiť príslušnú aktualizáciu:
- AOS-10: verzie 10.8.1.2, 10.7.2.7 a 10.4.1.14,
- AOS-8: verzie 8.13.3.1 a 8.10.0.24.
Kým aktualizácia neprebehne, HPE odporúča izolovať prístup k rozhraniam príkazového riadka a webovej správy do samostatného VLAN alebo segmentu. Prístup má byť zároveň obmedzený firewallovými pravidlami.
Praktickou prioritou je preveriť najmä to, z ktorých segmentov sú dostupné správcovské rozhrania a PAPI prevádzka. Počas nasadzovania opráv je vhodné sledovať neobvyklé prístupy k týmto rozhraniam z nedôveryhodných častí siete.
HPE zatiaľ nepozná verejný exploit
Pri vydaní bezpečnostného upozornenia HPE uviedla, že nevie o verejne dostupnom exploite ani o aktívnom zneužívaní konkrétnych opravených chýb. Nezávislé potvrdenie reálneho zneužitia niektorej zo 72 zraniteľností zatiaľ nie je k dispozícii.
Ďalší vývoj bude závisieť aj od toho, či HPE alebo americká agentúra CISA neskôr potvrdia aktívne zneužívanie, prípadne či sa niektoré CVE objaví v katalógu CISA Known Exploited Vulnerabilities.
Zdroje
- HPE Networking security bulletin HPESBNW05162 – Primárny bulletin HPE potvrdzuje vydanie opráv, rozsah zraniteľností, odporúčanú segmentáciu správy a stav poznania exploitov.
- CVE Program – záznamy CVE pridelené HPE – Záznam CVE potvrdzuje maximálne CVSS skóre a charakter jednej z kritických chýb v advisories HPESBNW05162.
- BleepingComputer – Nezávisle sumarizuje 72 opravených zraniteľností, osem chýb s CVSS 10,0 a vyjadrenie HPE o absencii známeho verejného exploitu.
Overené a aktualizované: 23. 10. 2026 15:21
