NCSC | Security Advisories
Bekijk RSS-feed

Security Advisories

Download

Security Advisory; NCSC-2026-0454 [1.0.0]

Security Advisory
NCSC-2026-0454 [1.0.0]
Publicatie
26-10-2026 14:43 (Europe/Amsterdam)
Prioriteit
Normaal
Betreft
Kwetsbaarheden verholpen in HPE Networking AOS

Kenmerken

  • Improper Neutralization of Special Elements used in a Command ('Command Injection')
  • Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
  • Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
  • Improper Control of Generation of Code ('Code Injection')
  • Incorrect Privilege Assignment
  • Authentication Bypass Using an Alternate Path or Channel
  • Missing Authentication for Critical Function

Omschrijving

HPE heeft 72 kwetsbaarheden verholpen in HPE Networking AOS-8 en AOS-10, waaronder Mobility Conductors, Mobility Controllers, Mobility Gateways en Access Points.

De kwetsbaarheden betreffen verschillende beveiligingsproblemen, waaronder authenticatieomzeiling, command- en SQL-injectie, buffer-overflows en onvoldoende toegangscontrole. Van de in totaal 72 kwetsbaarheden zijn 33 als kritiek aangemerkt. Hiervan kunnen 19 volgens HPE Networking zonder authenticatie op afstand via het netwerk worden misbruikt. Voor de overige 14 kritieke kwetsbaarheden is volgens HPE Networking eveneens geen authenticatie vereist, maar moet de aanvaller toegang hebben tot een aangrenzend netwerk. Succesvol misbruik kan onder meer leiden tot het uitvoeren van willekeurige code, het verkrijgen van administratieve toegang, het wijzigen van configuraties, het uitlezen van gevoelige informatie en Denial-of-Service.

Van de 33 kritieke kwetsbaarheden hebben acht een CVSS-score van 10.0. De kwetsbaarheden met kenmerk CVE-2026-79844, CVE-2026-79845, CVE-2026-79846, CVE-2026-79847, CVE-2026-79848, CVE-2026-79849, CVE-2026-79850 en CVE-2026-79851 kunnen zonder authenticatie en gebruikersinteractie op afstand worden misbruikt. Zeven hiervan kunnen leiden tot het uitvoeren van willekeurige code. CVE-2026-79845 kan leiden tot het verkrijgen van administratieve toegang en het wijzigen of uitlezen van gevoelige gegevens. Voor sommige kwetsbaarheden gelden aanvullende voorwaarden. Hoewel CVE-2026-79844 en CVE-2026-79846 een CVSS-score van 10.0 hebben, vermeldt HPE dat misbruik afhankelijk kan zijn van voorwaarden buiten de controle van de aanvaller.

De kwetsbaarheden met kenmerk CVE-2026-79857 en CVE-2026-79860 in het PAPI-protocol van AOS-8, kunnen zonder authenticatie op afstand worden misbruikt door speciaal vervaardigde UDP-pakketten te versturen. Succesvol misbruik kan leiden tot het uitvoeren van willekeurige code met verhoogde rechten en mogelijk volledige compromittering van het systeem.

HPE Networking meldt niet op de hoogte te zijn van publieke exploitcode en zijn geen bevestigde gevallen van actief misbruik bekend. Het NCSC adviseert om de beveiligingsupdates voor de kritieke kwetsbaarheden met voorrang toe te passen.

Oplossingen

HPE heeft beveiligingsupdates uitgebracht om de kwetsbaarheden te verhelpen. Organisaties wordt geadviseerd te upgraden naar AOS-10.8.1.2, 10.7.2.7, 10.4.1.14, AOS-8.13.3.1 of 8.10.0.24, of latere versies binnen de betreffende ondersteunde releasebranches.

HPE adviseert daarnaast de CLI- en webmanagementinterfaces af te schermen via een afzonderlijk VLAN en/of firewallregels. Zie bijgevoegde referenties voor meer informatie.

Referenties

CVE's

Producten

Aruba
ArubaOS
Aruba Networks
Arubaos
Hewlett Packard Enterprise
ArubaOS (AOS)
Hewlett Packard Enterprise (HPE)
Unknown product

Disclaimer

The Netherlands Cyber Security Center (henceforth: NCSC-NL) maintains this page to enhance access to its information and security advisories. The use of this security advisory is subject to the following terms and conditions: NCSC-NL makes every reasonable effort to ensure that the content of this page is kept up to date, and that it is accurate and complete. Nevertheless, NCSC-NL cannot entirely rule out the possibility of errors, and therefore cannot give any warranty in respect of its completeness, accuracy or continuous keeping up-to-date. The information contained in this security advisory is intended solely for the purpose of providing general information to professional users. No rights can be derived from the information provided therein. NCSC-NL and the Kingdom of the Netherlands assume no legal liability or responsibility for any damage resulting from either the use or inability of use of this security advisory. This includes damage resulting from the inaccuracy of incompleteness of the information contained in the advisory. This security advisory is subject to Dutch law. All disputes related to or arising from the use of this advisory will be submitted to the competent court in The Hague. This choice of means also applies to the court in summary proceedings.