Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] HPE Aruba Networking opravuje 7 zraniteľností
HPE Aruba vo verziách 10.8.0.1, 10.7.2.3, 10.4.1.11, 8.13.1.2, 8.12.0.7 a 8.10.0.22 opravuje 6 zraniteľností v produktoch Mobility Conductors, Mobility Controllers, Mobility Gateways a Access Points (AOS-10 a AOS-8) [1]. Ďalej vo verzii 7.5.1 opravuje 1 zraniteľnosť v produkte HPE Telco Network Function Virtualization Orchestrator [2]. Najzávažnejšie zraniteľnosti sú popísané nižšie, zvyšné nájdete na [1].
Neautentizovanému vzdialenému útočníkovi je kvôli nedostatočnej validácii hlavičky Host v prichádzajúcich HTTP požiadavkách v komponente Undertow, používanej v produkte HPE Telco Network Function Virtualization Orchestrator, umožnené spracovať škodlivé požiadavky, čo môže viesť k cache poisoning, interným sieťovým skenom alebo prevzatiu používateľských relácií [2][3].
Zraniteľnosť sa nachádza v produkte:
- HPE Telco Network Function Virtualization Orchestrator; >=7.5.0, <7.5.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L
Viac informácií:
- CVE-2025-12543 na cve.org, NVD
- CWE-20: Improper Input Validation na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 31. 3. 2026.
Neautentizovanému útočníkovi v priľahlej sieti je kvôli chybe v spracovaní bezdrôtového šifrovania prostredníctvom riadeného skupinového šifrovacieho kľúča (GTK) a sfalšovaniu identity hlavného identifikátora bezdrôtového prístupového bodu (BSSID) umožnené injektovať rámce, a tým sfalšovať sieťovú prevádzku a doručiť upravené dáta vybraným klientom [1].
Zraniteľnosť sa nachádza v produkte:
- Aruba AOS; >=10.8.0.0, <10.8.0.1; >=10.7.2.2, <10.7.2.3; >=10.4.1.10, <10.4.1.11; >=8.13.1.1, <8.13.1.2; >=8.12.0.6, <8.12.0.7; >=8.10.0.21, <8.10.0.22
CVSS: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
Viac informácií:
- CVE-2026-23601 na cve.org, NVD
- CWE-327: Use of a Broken or Risky Cryptographic Algorithm na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 31. 3. 2026.
Neautentizovanému útočníkovi v priľahlej sieti je umožnené sfalšovať klientom riadený skupinový šifrovací kľúč (GTK) v štandardizovanom protokole pre bezdrôtový roaming, a tým injektovať rámce, obísť izoláciu klientov, ovplyvniť komunikáciu medzi klientmi a ohroziť segmentáciu siete, integritu a dôvernosť komunikácie [1].
Zraniteľnosť sa nachádza v produkte:
- Aruba AOS; >=10.8.0.0, <10.8.0.1; >=10.7.2.2, <10.7.2.3; >=10.4.1.10, <10.4.1.11; >=8.13.1.1, <8.13.1.2; >=8.12.0.6, <8.12.0.7; >=8.10.0.21, <8.10.0.22
CVSS: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
Viac informácií:
- CVE-2026-23808 na cve.org, NVD
- CWE-94: Improper Control of Generation of Code ('Code Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 31. 3. 2026.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dňa 1. 4. 2026.