-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA512 ##################################################### ## N C S C ~ B E V E I L I G I N G S A D V I E S ## ##################################################### Titel : Kwetsbaarheden verholpen in HPE Networking AOS Advisory ID : NCSC-2026-0454 Versie : 1.00 Kans : medium CVE ID : CVE-2026-79844, CVE-2026-79845, CVE-2026-79846, CVE-2026-79847, CVE-2026-79848, CVE-2026-79849, CVE-2026-79850, CVE-2026-79851, CVE-2026-79852, CVE-2026-79853, CVE-2026-79854, CVE-2026-79855, CVE-2026-79856, CVE-2026-79857, CVE-2026-79858, CVE-2026-79859, CVE-2026-79860, CVE-2026-79861, CVE-2026-79862, CVE-2026-79863, CVE-2026-79864, CVE-2026-79865, CVE-2026-79866, CVE-2026-79867, CVE-2026-79868, CVE-2026-79869, CVE-2026-79870, CVE-2026-79871, CVE-2026-79872, CVE-2026-79873, CVE-2026-79874, CVE-2026-79875, CVE-2026-79876, CVE-2026-79877, CVE-2026-79878, CVE-2026-79879, CVE-2026-79880, CVE-2026-79881, CVE-2026-79882, CVE-2026-79883, CVE-2026-79884, CVE-2026-79885, CVE-2026-79886, CVE-2026-79887, CVE-2026-79888, CVE-2026-79889, CVE-2026-79890, CVE-2026-79891, CVE-2026-79892, CVE-2026-79893, CVE-2026-79894, CVE-2026-79895, CVE-2026-79955, CVE-2026-79956, CVE-2026-95704, CVE-2026-95705, CVE-2026-95706, CVE-2026-95707, CVE-2026-95708, CVE-2026-95709, CVE-2026-95710, CVE-2026-95711, CVE-2026-95712, CVE-2026-95713, CVE-2026-95714, CVE-2026-95715, CVE-2026-95716, CVE-2026-95717, CVE-2026-95718, CVE-2026-95719, CVE-2026-95720, CVE-2026-95721 (Details over de kwetsbaarheden kunt u vinden op de Mitre website: https://cve.mitre.org/cve/) Schade : high Improper Neutralization of Special Elements used in a Command ('Command Injection') Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') Improper Control of Generation of Code ('Code Injection') Incorrect Privilege Assignment Authentication Bypass Using an Alternate Path or Channel Missing Authentication for Critical Function Uitgiftedatum : 20261026 Toepassing : Aruba ArubaOS Aruba Networks Arubaos Hewlett Packard Enterprise (HPE) Unknown product Hewlett Packard Enterprise ArubaOS (AOS) Versie(s) : Platform(s) : Beschrijving HPE heeft 72 kwetsbaarheden verholpen in HPE Networking AOS-8 en AOS-10, waaronder Mobility Conductors, Mobility Controllers, Mobility Gateways en Access Points. De kwetsbaarheden betreffen verschillende beveiligingsproblemen, waaronder authenticatieomzeiling, command- en SQL-injectie, buffer- overflows en onvoldoende toegangscontrole. Van de in totaal 72 kwetsbaarheden zijn 33 als kritiek aangemerkt. Hiervan kunnen 19 volgens HPE Networking zonder authenticatie op afstand via het netwerk worden misbruikt. Voor de overige 14 kritieke kwetsbaarheden is volgens HPE Networking eveneens geen authenticatie vereist, maar moet de aanvaller toegang hebben tot een aangrenzend netwerk. Succesvol misbruik kan onder meer leiden tot het uitvoeren van willekeurige code, het verkrijgen van administratieve toegang, het wijzigen van configuraties, het uitlezen van gevoelige informatie en Denial-of-Service. Van de 33 kritieke kwetsbaarheden hebben acht een CVSS-score van 10.0. De kwetsbaarheden met kenmerk CVE-2026-79844, CVE-2026-79845, CVE-2026-79846, CVE-2026-79847, CVE-2026-79848, CVE-2026-79849, CVE-2026-79850 en CVE-2026-79851 kunnen zonder authenticatie en gebruikersinteractie op afstand worden misbruikt. Zeven hiervan kunnen leiden tot het uitvoeren van willekeurige code. CVE-2026-79845 kan leiden tot het verkrijgen van administratieve toegang en het wijzigen of uitlezen van gevoelige gegevens. Voor sommige kwetsbaarheden gelden aanvullende voorwaarden. Hoewel CVE-2026-79844 en CVE-2026-79846 een CVSS-score van 10.0 hebben, vermeldt HPE dat misbruik afhankelijk kan zijn van voorwaarden buiten de controle van de aanvaller. De kwetsbaarheden met kenmerk CVE-2026-79857 en CVE-2026-79860 in het PAPI-protocol van AOS-8, kunnen zonder authenticatie op afstand worden misbruikt door speciaal vervaardigde UDP-pakketten te versturen. Succesvol misbruik kan leiden tot het uitvoeren van willekeurige code met verhoogde rechten en mogelijk volledige compromittering van het systeem. HPE Networking meldt niet op de hoogte te zijn van publieke exploitcode en zijn geen bevestigde gevallen van actief misbruik bekend. Het NCSC adviseert om de beveiligingsupdates voor de kritieke kwetsbaarheden met voorrang toe te passen. Mogelijke oplossingen HPE heeft beveiligingsupdates uitgebracht om de kwetsbaarheden te verhelpen. Organisaties wordt geadviseerd te upgraden naar AOS-10.8.1.2, 10.7.2.7, 10.4.1.14, AOS-8.13.3.1 of 8.10.0.24, of latere versies binnen de betreffende ondersteunde releasebranches. HPE adviseert daarnaast de CLI- en webmanagementinterfaces af te schermen via een afzonderlijk VLAN en/of firewallregels. Zie bijgevoegde referenties voor meer informatie. Referenties: Reference https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw05162 en_us&docLocale=en_US Vrijwaringsverklaring Door gebruik van deze security advisory gaat u akkoord met de navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke zorg heeft betracht bij de samenstelling van dit beveiligingsadvies, kan het NCSC niet instaan voor de volledigheid, juistheid of (voortdurende) actualiteit van dit beveiligingsadvies. De informatie in dit beveiligingsadvies is uitsluitend bedoeld als algemene informatie voor professionele partijen. Aan de informatie in dit beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC en de Staat zijn niet aansprakelijk voor enige schade ten gevolge van het gebruik of de onmogelijkheid van het gebruik van dit beveiligingsadvies, waaronder begrepen schade ten gevolge van de onjuistheid of onvolledigheid van de informatie in dit beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht van toepassing. Alle geschillen in verband met en/of voortvloeiend uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de voorzieningenrechter in kort geding. -----BEGIN PGP SIGNATURE----- iQGzBAEBCgAdFiEEGSwziqblmmRNtImqgupWoL0ZhGEFAmrfWRUACgkQgupWoL0Z hGHhbAv8Dpi8W3SIWe5oavtgJ3OBGP8P7relcGxYlr5hyxRNZMaWwU2RXX6rd+4U Q+noQZ0CdxzDdpxwy6a+6mUNiZMOP8lhhbYbCM2oms15jAeC0wwioAS1JkLCdbD2 01cbWkKsHPKrt8OAsrwRHsGbypuRJnnC4s4dQYhYOkCbifXf5UxOHn3vixzfj09B JrjdFWcetJx6gHa/kdB24A4LbC8taoA93vGOhuHImNlWGGk4QhnLz6JISjUlm8Vr MOrUzor2ckSQKn6Gn1o2LJHLKVn1f23z6qiWfMNMTRbstAw48L9kYhrE9xuM0Sqz sZrx3K5t/zk4Pv3OMHpkvBC5iOzYzUAPJDAHmScqQ89XGxJqMOvO+S7xzUzuwdWr YFSbLpyzTQsT1kWEc9zb154GyreBJ4GAhTeQW9omo6oL42SR5WarXUfB4CPNELC+ EFOO+rmCBBljBly8CakpCF18QM6ZGL0Ahd6PH0eMq5AgmSs0Sc0QxE2oVeGPQAfA wcbrs+98 =8wTD -----END PGP SIGNATURE-----