Критичен проблем с автентикацията в AOS-CX

Hewlett Packard Enterprise (HPE) публикува пачове за Aruba Networking AOS-CX операционна система, която се използва в CX-серията campus и data center switch устройства. Сред засегнатите уязвимости има няколко, свързани с автентикация и изпълнение на код, като най-сериозната е критична уязвимост за заобикаляне на автентикация (CVE-2026-23813).

Тя позволява на неавторизирани нападатели да изпълнят нискокомплексни атаки, чрез които могат да рестартират администраторски пароли.

„Уязвимостта в уеб-базираната администрация на AOS-CX превключватели може да позволи на отдалечен неавтентикиран потребител да заобиколи съществуващи контролни механизми за автентикация. В някои случаи това може да позволи рестартиране на администраторската парола,“ обяснява HPE.

Компанията допълва, че към момента няма публично обсъждане или код за експлойт, насочен към тези конкретни уязвимости.

Препоръчителни мерки за администратори

За IT администратори, които не могат веднага да приложат пачовете, HPE препоръчва:

• Ограничаване на достъпа до всички управленски интерфейси чрез отделен Layer 2 сегмент или VLAN.

• Прилагане на строги политики Layer 3+, позволяващи достъп до управлението само от доверени хостове.

• Деактивиране на HTTP(S) интерфейси на Switched Virtual Interfaces (SVI) и маршрутизирани портове, където управлението не е необходимо.

• Прилагане на ACL (Access Control Lists) за контрол на REST/HTTP интерфейсите, позволявайки връзка само на доверени клиенти.

• Подробен мониторинг, логване и отчитане на всички дейности по управленските интерфейси, за да се откриват и реагират неоторизирани опити за достъп.

Предишни проблеми

• Юли 2025: HPE предупреждава за hardcoded credentials в Aruba Instant On Access Points, позволяващи заобикаляне на стандартната автентикация.

• Юни 2025: Пачове за StoreOnce backup и deduplication solution, включително критичен bypass на автентикация и три уязвимости за отдалечено изпълнение на код.

• Януари 2026: CISA сигнализира за HPE OneView уязвимост с максимална степен, използвана в реални атаки.

HPE обслужва над 55,000 корпоративни клиенти, включително 90% от Fortune 500 компаниите, и е една от водещите компании в сектора на корпоративни ИТ решения.