Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] HPE Aruba Networking opravuje 33 zranitelností v různých produktech

HPE Aruba Networking opravuje 33 zranitelností v různých produktech [1][2][3]. Nejzávažnější zranitelnosti jsou uvedeny níže. Zranitelnost CVE-2025-35991 se původně týká procesorů Intel [4]. Několik verzí AOS-10 a AOS-8 (seznam dostupný na [1][2]) je zranitelnostmi postiženo, ale opravu nedostane, protože jsou EoM. Postižené produkty a jejich opravené verze: Mobility Conductors AOS - 10.8.0.1, 10.7.2.3, 10.4.1.11, 8.13.1.2, 8.12.0.7, 8.10.0.22 [1] Mobility Controllers AOS - 10.8.0.1, 10.7.2.3, 10.4.1.11, 8.13.1.2, 8.12.0.7, 8.10.0.22 [1] WLAN Gateways AOS (spravované přes HPE Aruba Networking Central) - 10.8.0.1, 10.7.2.3, 10.4.1.11, 8.13.1.2, 8.12.0.7, 8.10.0.22 [1] SD-WAN Gateways AOS (spravované přes HPE Aruba Networking Central) - 10.8.0.1, 10.7.2.3, 10.4.1.11, 8.13.1.2, 8.12.0.7, 8.10.0.22 [1] Access Points AOS-10, AOS-8 Instant - 10.8.0.1, 10.7.2.3, 10.4.1.11, 8.13.1.2, 8.12.0.7, 8.10.0.22 [2] Alletra 4110, 4120, 4140 - 2.80_01-29-2026 [3] ProLiant Gen11 DL110, DL380a, DL560, ML110 - 2.80_01-29-2026 [3] ProLiant Gen11 Server DL320, DL360, DL380, ML350 - 2.80_01-29-2026 [3] Synergy Gen11 480 - 2.80_01-29-2026 [3] Compute Edge Server e930t - 2.80_01-29-2026 [3]

HPE Aruba Mobility Conductors/Controllers, WLAN and SD-WAN Gateways - RCE a DoS (CVE-2026-23827)
CVSS 9.8 (Critical)

Neautentizovanému vzdálenému útočníkovi je v Mobility Conductors / Controllers a WLAN / SD-WAN Gateways v důsledku přetečení vyrovnávací paměti na haldě umožněno vykonat libovolný kód v operačním systému nebo způsobit pád aplikace [1].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 12. 5. 2026.

HPE Aruba Access Points - command injection (CVE-2026-23820)
CVSS 7.2 (High)

Autentizovanému vzdálenému útočníkovi je v Access Points umožněno uniknout z omezeného prostředí Shell a vykonávat libovolné příkazy v operačním systému [2].

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2026-23820 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 12. 5. 2026.

HPE Aruba ProLiant DL/ML, Alletra, Synergy, and Edgeline Servers - únik informací (CVE-2025-35991)
CVSS 5.3 (Medium)

Autentizovanému lokálnímu útočníkovi je v některých serverech ProLiant DL/ML, Alletra, Synergy a Edgeline s procesory Intel Xeon 4. a 5. generace umožněno neoprávněně přistupovat k informacím [3][4]. Seznam konkrétních serverů je dostupný na [3].

CVSS: CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:N/A:N

Více informací:

Zranitelnost byla veřejně oznámena 12. 5. 2026.

HPE Aruba Access Points - XSS (CVE-2026-23819)
CVSS 8.8 (High)

Neautentizovanému sousednímu útočníkovi je v Access Points umožněno provést XSS útok [2].

CVSS: CVSS:3.1/AV:A/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Více informací:

  • CVE-2026-23819 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 12. 5. 2026.

Za CESNET, z.s.p.o. Martin Krajči dne 13. 5. 2026.

CESNET, z.s.p.o. Logo