Hewlett Packard Enterprise (HPE) ha publicado parches para una vulnerabilidad crítica en el sistema operativo ArubaOS-CX que podría permitir a atacantes remotos ejecutar código arbitrario. La falla, identificada como CVE-2026-73749, es un desbordamiento de búfer que afecta a un proceso demonio del sistema operativo.
Según el aviso de seguridad de HPE, un atacante remoto no autenticado podría explotar esta vulnerabilidad enviando paquetes malformados al servicio afectado, logrando ejecución de código con privilegios elevados. El problema reside en el manejo inadecuado de entradas malformadas por parte del demonio.
Las versiones afectadas y las actualizaciones recomendadas son: 10.18.0001 (actualizar a 10.18.1002 o superior), 10.17.1021 y anteriores (actualizar a 10.17.1030 o superior), 10.16.1051 y anteriores (actualizar a 10.16.1060 o superior), 10.13.1180 y anteriores (actualizar a 10.13.1190 o superior) y 10.10.1180 y anteriores (actualizar a 10.10.1181 o superior). HPE señala que la versión 10.10.1181 ha alcanzado el final de mantenimiento y solo recibe correcciones para problemas internos críticos, incluido el CVE-2026-73749.
ArubaOS-CX es el sistema operativo de HPE Aruba Networking para sus conmutadores de red de nivel empresarial, que se utilizan en grandes empresas, agencias gubernamentales, universidades, organizaciones de salud, centros de datos y proveedores de servicios.
El aviso de HPE también cubre otras 23 vulnerabilidades de seguridad, algunas con calificaciones de alta severidad entre 8.1 y 8.8. Entre ellas se incluyen fallas como la CVE-2026-73750, que podría permitir denegación de servicio o ejecución de código con privilegios elevados; la CVE-2026-73751, que permite ejecución de comandos arbitrarios a través de la interfaz de gestión web; la CVE-2026-73752, que permite escribir archivos arbitrarios en el sistema operativo subyacente mediante un endpoint de API; y la CVE-2026-73753, que facilita la ejecución de comandos como usuario privilegiado.
Otras vulnerabilidades corregidas incluyen problemas como la CVE-2026-73782, una vulnerabilidad de cadena de formato en la interfaz de línea de comandos que podría permitir ejecución de código arbitrario; la CVE-2026-73781, un cross-site scripting almacenado en la interfaz de gestión web; la CVE-2026-73780, una falta de protecciones CSRF; la CVE-2026-73779, un bypass de autenticación que expone información sensible; la CVE-2026-73778, que utiliza contraseñas predeterminadas para obtener control administrativo total; y la CVE-2026-73777, un problema en un endpoint de API que permite escalada de privilegios.
HPE recomienda encarecidamente a los clientes que actualicen a las versiones corregidas mencionadas en el aviso. La compañía señala que, en el momento de la publicación, no tenía conocimiento de explotación activa ni de pruebas de concepto públicas para estas vulnerabilidades.
Estas correcciones son vitales para proteger infraestructuras críticas que dependen de los conmutadores ArubaOS-CX, y se espera que los administradores de sistemas apliquen los parches lo antes posible para mitigar riesgos.
Deja una respuesta