HPE, ArubaOS'ta kimlik doğrulamasız kod çalıştırmaya imkân veren 8 kritik açığı kapattı

Hewlett Packard Enterprise (HPE), Aruba işletim sistemi ArubaOS'taki (AOS) 72 güvenlik açığını kapatan güncellemeler yayımladı. BleepingComputer'ın 23 Ekim'de aktardığına göre açıklardan sekizi en yüksek önem derecesinde. ArubaOS; mobility conductor'lar, erişim noktaları, denetleyiciler ve ağ geçitleri dahil HPE Aruba Networking'in kurumsal kablosuz altyapısında çalıştığı için açıklar çok sayıda şirket ve kampüs ağını ilgilendiriyor.

Neler oldu?

BleepingComputer'ın haberine göre sekiz kritik açık, AOS-8 ve AOS-10'un birden fazla sürümünü etkiliyor. Açıklar, kimliği doğrulanmamış uzak saldırganlar tarafından düşük karmaşıklıkta ve kullanıcı etkileşimi gerektirmeden istismar edilebiliyor. HPE, açıkların "karmaşıklığı, kapsamı ve etkisi" nedeniyle müşterilerini güncellemeleri en kısa sürede yüklemeye çağırdı.

Teknik detaylar

BleepingComputer'ın aktardığı HPE bültenine göre en yüksek önem derecesindeki açıklar şunlar:

• CVE-2026-79844 (AOS-10): uzaktan kod çalıştırmaya yol açan kimlik doğrulama atlatma
• CVE-2026-79845 (AOS-10): PAPI protokolünde kimlik doğrulama atlatma
• CVE-2026-79846 (AOS-8): kimlik doğrulamasız komut enjeksiyonu
• CVE-2026-79847 (AOS-10): uzaktan kod çalıştırmaya yol açan kimlik doğrulamasız arabellek taşması
• CVE-2026-79848 ve CVE-2026-79849 (AOS-8): uzaktan kod çalıştırmaya yol açan kimlik doğrulamasız SQL enjeksiyonu
• CVE-2026-79850 (AOS-8): uzaktan kod çalıştırmaya yol açan kimlik doğrulama atlatma
• CVE-2026-79851 (AOS-10): uzaktan kod çalıştırmaya yol açan kimlik doğrulamasız arabellek taşması

Haberde CVSS puanları ile etkilenen ve düzeltilmiş sürüm numaraları yer almıyor; bu bilgiler HPE'nin hpesbnw05162en_us numaralı güvenlik bülteninde yayımlandı.

HPE, kamuya açık bir kavram kanıtı (PoC) istismar kodu bulmadığını ve açıkların sahada istismar edildiğine dair kanıt olmadığını açıkladı. Şirket, bültenin yayımlandığı tarih itibarıyla bu açıkları hedef alan herhangi bir kamuya açık tartışma veya istismar kodundan haberdar olmadığını belirtti.

Kimler etkileniyor?

Savunmasız AOS-8 veya AOS-10 sürümlerini çalıştıran HPE Aruba Networking mobility conductor, denetleyici, ağ geçidi ve erişim noktası kullanan kurumlar risk altında. Bu tür ağ cihazları, yamalar yayımlandıktan ve değişiklikler incelenebilir hale geldikten sonra sıkça saldırganların hedefine giriyor. Bu nedenle bilinen bir istismar olmasa da hızlı güncelleme önem taşıyor.

Ne yapmalı?

• Etkilenen AOS-8 ve AOS-10 sürümlerini belirlemek için HPE'nin hpesbnw05162en_us bültenini inceleyin ve en kısa sürede düzeltilmiş sürümlere geçin.
• Güncelleme yapılana kadar HPE, CLI ve web yönetim arayüzlerine erişimin ayrı bir katman 2 segmenti veya VLAN ile sınırlandırılmasını öneriyor.
• Yönetim arayüzlerine erişimi katman 3 ve üzeri güvenlik duvarı politikalarıyla denetleyin.
• Şüpheli erişimleri fark edebilmek için kullanıcı etkinliğini ve kaynak kullanımını kaydeden hesap denetimi (accounting) özelliklerini etkinleştirin.

BleepingComputer, güncellemenin HPE'nin yakın zamanda yayımladığı ve yönetici parolasının sıfırlanmasına ve uzaktan kod çalıştırmaya imkân veren kritik AOS-CX açıklarına ilişkin uyarıların ardından geldiğini hatırlattı.