ArubaOS: HPE dicht 72 lekken, acht van hoogste ernst
HPE heeft een beveiligingsupdate uitgebracht voor ArubaOS waarin 72 kwetsbaarheden zijn gedicht. Acht daarvan hebben de hoogst mogelijke ernstscore: het zijn authenticatie-omzeilingen en lekken waarmee een aanvaller code kan uitvoeren op het apparaat. Dat staat in de security advisory die HPE donderdag publiceerde, en waarover BleepingComputer bericht.
Wat er geraakt wordt
ArubaOS, ook kortweg AOS, is het besturingssysteem onder de zakelijke netwerkapparatuur van HPE Aruba Networking: mobility conductors, accesspoints, controllers en gateways. De acht zwaarste lekken zitten in meerdere versies van zowel AOS-8 als AOS-10.
Wat deze reeks onaangenaam maakt, is de lage drempel. Volgens de advisory zijn ze op afstand te misbruiken door een aanvaller zonder enige rechten, via aanvallen met een lage complexiteit en zonder dat een gebruiker iets hoeft te doen. Er is dus geen buitgemaakt beheerderswachtwoord nodig en geen phishingmail die iemand moet openen.
De acht lekken met de hoogste ernstscore:
- CVE-2026-79844 - authenticatie-omzeiling die leidt tot code-uitvoering in AOS-10
- CVE-2026-79845 - authenticatie-omzeiling in het PAPI-protocol van AOS-10
- CVE-2026-79846 - commando-injectie zonder authenticatie in AOS-8
- CVE-2026-79847 - bufferoverflow zonder authenticatie, leidt tot code-uitvoering in AOS-10
- CVE-2026-79848 - SQL-injectie zonder authenticatie, leidt tot code-uitvoering in AOS-8
- CVE-2026-79849 - SQL-injectie zonder authenticatie, leidt tot code-uitvoering in AOS-8
- CVE-2026-79850 - authenticatie-omzeiling die leidt tot code-uitvoering in AOS-8
- CVE-2026-79851 - bufferoverflow zonder authenticatie, leidt tot code-uitvoering in AOS-10
Nog geen misbruik gezien
HPE schrijft dat het op de publicatiedatum van de advisory geen openbare exploitcode of publieke discussie over deze kwetsbaarheden kent, en geen aanwijzingen heeft dat ze worden misbruikt. Dat is een momentopname: bij netwerkapparatuur die vanaf het netwerk aanspreekbaar is, zegt het vooral iets over vandaag.
Wat je nu kunt doen
HPE dringt aan op snel patchen. "Klanten wordt sterk aangeraden hun instanties te patchen vanwege de complexiteit, breedte en impact van deze kwetsbaarheden", schrijft het bedrijf in de advisory.
Kun je niet direct patchen, dan noemt HPE een concrete mitigatie: zet de beheerinterfaces op slot. Het advies is om de CLI en de webinterface te beperken tot een apart layer 2-segment of VLAN, en ze af te schermen met firewallregels op layer 3 en hoger, met logging om bij te houden wie wat doet.
Dat vervangt de update niet, maar het verkleint het aanvalsoppervlak. Een lek dat alleen vanaf een afgeschermd beheersegment bereikbaar is, is iets anders dan een lek dat vanaf elk gastnetwerk te bereiken is.
Praktisch komt het hierop neer: inventariseer welke AOS-8- en AOS-10-versies je in beheer hebt, controleer of de beheerinterfaces van je controllers en gateways bereikbaar zijn vanaf gebruikers- of gastnetwerken, en vergelijk je versies met de tabellen in de advisory van HPE. Welke versies de fix bevatten, staat daar per product vermeld.