Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] HPE Aruba Networking AOS-CX opravuje 5 zranitelností, z toho 1 kritickou

HPE Aruba verzemi 10.17.1001, 10.16.1030, 10.13.1161 a 10.10.1180 opravuje 5 zranitelností v produktu HPE Aruba Networking AOS-CX. Nejzávažnější z nich jsou popsány níže, ostatní naleznete na [1].

HPE Aruba Networking AOS-CX - obejití autentizace (CVE-2026-23813)
CVSS 9.8 (Critical)

Neautentizovanému vzdálenému útočníkovi je ve webovém správcovském rozhraní umožněno obejít autentizaci a získat administrátorský přístup k zařízení [1].

Zranitelnost se nachází v produktu:

  • AOS-CX; >=10.17.0, <10.17.1001; >=10.16.0, <10.16.1030; >=10.13.0, <10.13.1161; >=10.10.0, <10.10.1180

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 10. 3. 2026.

HPE Aruba Networking AOS-CX - injektáž příkazů (CVE-2026-23814)
CVSS 8.8 (High)

Autentizovanému vzdálenému útočníkovi je prostřednictvím příkazové řádky (CLI) umožněno zneužít nedostatečnou validaci parametrů a vykonat libovolné příkazy v operačním systému zařízení [1].

Zranitelnost se nachází v produktu:

  • AOS-CX; >=10.17.0, <10.17.1001; >=10.16.0, <10.16.1030; >=10.13.0, <10.13.1161; >=10.10.0, <10.10.1180

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2026-23814 na cve.org, NVD
  • CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 10. 3. 2026.

HPE Aruba Networking AOS-CX - injektáž příkazů (CVE-2026-23815)
CVSS 7.2 (High)

Autentizovanému vzdálenému útočníkovi je prostřednictvím specifické binární součásti CLI umožněno vykonat příkazy na úrovni operačního systému zařízení [1].

Zranitelnost se nachází v produktu:

  • AOS-CX; >=10.17.0, <10.17.1001; >=10.16.0, <10.16.1030; >=10.13.0, <10.13.1161; >=10.10.0, <10.10.1180

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2026-23815 na cve.org, NVD
  • CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 10. 3. 2026.

Za CESNET, z.s.p.o. Henrieta Paločková dne 12. 3. 2026.

CESNET, z.s.p.o. Logo