Компания HPE объявила о выпуске пакета экстренных обновлений безопасности для устранения 72 уязвимостей в операционных системах для беспроводных сетей продуктов Aruba, в частности в ОС AOS-8 и AOS-10. Эти обновления включают исправление 33 уязвимостей, классифицированных как «критические», а также восьми уязвимостей, описанных как имеющие «максимальную степень опасности» (max-severity).
Характер угроз безопасности
Наиболее опасные уязвимости сосредоточены вокруг группы идентификаторов (от CVE-2026-79844 до CVE-2026-79851), которые могут позволить неавторизованным злоумышленникам выполнять удаленное исполнение кода (RCE) и обходить процессы аутентификации для получения полных административных привилегий. Этот тип уязвимостей позволяет злоумышленнику запускать произвольные команды, что может привести к взлому затронутых систем и получению над ними полного контроля.
Помимо восьми основных уязвимостей, обновления включают исправление 31 уязвимости «высокой» степени опасности, 8 уязвимостей «средней» степени и одной «низкой». Риски этих уязвимостей варьируются от раскрытия конфиденциальной информации и манипуляции файлами до несанкционированного доступа к управлению системой.
Затронутые системы и продукты
HPE предоставила исправления в следующих версиях систем AOS:
- AOS-8: версии 8.10.0.24 и 8.13.3.1
- AOS-10: версии 10.4.1.14, 10.7.2.7 и 10.8.1.2
Воздействие затрагивает все устройства и решения, совместимые с этими системами, включая контроллеры, шлюзы, точки доступа, а также виртуальные машины (VM), работающие на базе этих систем.
Что необходимо сделать для обеспечения безопасности сети?
Хотя HPE подтвердила, что на данный момент не зафиксировано случаев эксплуатации этих уязвимостей в реальных условиях, компания настоятельно призвала клиентов немедленно применить обновления. Чтобы снизить вероятность успеха любой атаки, компания рекомендовала следовать следующим практикам:
- Изоляция управления: ограничение интерфейсов управления, будь то через интерфейс командной строки (CLI) или веб-интерфейс, и их размещение в изолированном сегменте сети (выделенный VLAN/сегмент уровня 2).
- Контроль через межсетевой экран: использование политик межсетевого экрана на уровне 3 (Layer 3) и выше для контроля доступа.
- Мониторинг и отслеживание: активация средств учета (Accounting controls) для отслеживания и регистрации всех действий пользователей и использования ресурсов внутри сети.