Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] HPE opravuje 24 zranitelností v různých produktech

HPE opravuje 24 zranitelností v různých produktech. Nejzávažnější z nich jsou uvedeny níže, zbývající jsou uvedeny na [1][2][3][5]. Produkty a jejich opravené verze: HPE Aruba Networking AOS-CX - 10.16.1001, 10.15.1030, 10.14.1060, 10.13.1101, 10.10.1170 [1], HPE Aruba Networking Management Software (AirWave) - 8.3.0.5 [2], HPE Compute Scale-up Server 3200 - v1.55.98 [3], HPE Telco Service Activator - v10.4.0 [5].

Aruba AOS-CX - neoprávněný přístup (CVE-2025-37155)
CVSS 7.8 (High)

Autentizovanému vzdálenému útočníkovi s read-only oprávněními je v důsledku nedostatečné kontroly přístupu v SSH restricted rozhraní síťových služeb managementu v HPE Aruba Networking AOS-CX umožněno získat administrátorská oprávnění na napadeném systému [1].

Zranitelnost se nachází v produktu:

  • HPE Aruba Networking AOS-CX; <10.16.1001; <10.15.1030, <10.14.1060; <10.13.1101; <10.10.1170

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 18. 11. 2025.

Aruba AirWave - command injection (CVE-2025-37163)
CVSS 7.2 (High)

Autentizovanému vzdálenému útočníkovi je v důsledku nedostatečné kontroly vstupů v CLI rozhraní HPE Aruba Networking Management Software (AirWave) umožněno provést command injection útok, v jehož důsledku získá možnost vykonávat příkazy v operačním systému s vyššími oprávněními [2].

Zranitelnost se nachází v produktu:

  • HPE Aruba Networking Management Software (AirWave);<8.3.0.5

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2025-37163 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 18. 11. 2025.

HPE Scale-up Server 3200 - eskalace oprávnění (CVE-2025-20109)
CVSS 7.8 (High)

Autentizovanému lokálnímu útočníkovi je v důsledku nedostatečné izolace v mechanismu stream cache v určitých procesorech Intel použitých v HPE Compute Scale-up Server 3200 umožněno získat vyšší oprávnění [3]. Seznam dotčených procesorů najdete na [4]

Zranitelnost se nachází v produktu:

  • HPE Compute Scale-up Server 3200; <v1.55.98

CVSS: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 18. 11. 2025.

HPE Telco Service Activator - DoS (2025-9784)
CVSS 7.5 (High)

Neautentizovanému vzdálenému útočníkovi je v důsledku implementační chyby ve zpracování klientských požadavků v HPE Telco Service Activator (Undertow) umožněno opakovaně vyvolat serverové resetování HTTP/2 streamů, což může vést ke způsobení DoS útoku [5][6].

Zranitelnost se nachází v produktu:

  • HPE Telco Service Activator; <v10.4.0

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Více informací:

Zranitelnost byla veřejně oznámena 21. 11. 2025.

Za CESNET, z.s.p.o. Henrieta Paločková dne 24. 11. 2025.

CESNET, z.s.p.o. Logo