A Hewlett Packard Enterprise (HPE) lançou atualizações de segurança para corrigir 72 vulnerabilidades no Aruba Operating System (ArubaOS), incluindo oito falhas de gravidade máxima que permitem contornar a autenticação e executar código.
Também conhecido como AOS, o ArubaOS é usado na infraestrutura corporativa de redes sem fio da Aruba Networking, que inclui controladores de mobilidade, pontos de acesso e dispositivos de gateway.
As oito falhas de gravidade máxima corrigidas nesta quinta-feira afetam várias versões do AOS-8 e do AOS-10. Invasores remotos podem explorá-las sem privilégios, por meio de ataques de baixa complexidade que não exigem interação do usuário.
A HPE recomendou que os clientes corrijam as falhas o quanto antes e apresentou medidas de mitigação, como restringir o acesso às interfaces de gerenciamento do AOS.
“Os clientes devem corrigir seus sistemas com urgência, devido à complexidade, à abrangência e ao impacto dessas vulnerabilidades”, alertou a empresa em um comunicado de segurança divulgado nesta quinta-feira.
“Para reduzir a probabilidade de exploração dessas vulnerabilidades, a HPE Networking recomenda que o acesso às interfaces de gerenciamento pela CLI e pela web seja restrito a um segmento ou VLAN dedicado da camada 2 e/ou controlado por políticas de firewall a partir da camada 3. Também recomenda o uso de controles de auditoria para rastrear e registrar as atividades dos usuários e o consumo de recursos.”
A lista completa das falhas de gravidade máxima corrigidas está na tabela abaixo.
A empresa acrescentou que, até o momento, não encontrou códigos de exploit de prova de conceito disponíveis publicamente nem evidências de que as vulnerabilidades estejam sendo exploradas em ataques reais.
“A HPE Networking não tem conhecimento de discussões públicas ou de códigos de exploit direcionados às vulnerabilidades listadas até a data de publicação deste comunicado”, informou a empresa.
Em junho de 2025, a HPE corrigiu oito vulnerabilidades críticas no StoreOnce que permitiam contornar a autenticação e executar código remotamente. Um mês depois, alertou sobre credenciais hardcoded em pontos de acesso Aruba Instant On, que poderiam permitir que invasores contornassem a autenticação dos dispositivos.
Em janeiro de 2025, a Cybersecurity and Infrastructure Security Agency (CISA) dos Estados Unidos também sinalizou uma vulnerabilidade de gravidade máxima no HPE OneView que estava sendo explorada em ataques.
Mais recentemente, a HPE alertou sobre falhas críticas que permitem redefinir senhas de administrador e executar código remotamente em dispositivos AOS-CX não atualizados.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...