HPE corrige 72 vulnerabilidades en sus sistemas AOS-8 y AOS-10

Un boletín amplio con alcance acotado

HPE publicó el 22 de octubre el aviso HPESBNW05162 para AOS (ArubaOS), los sistemas inalámbricos usados en controladores, gateways y puntos de acceso de sus líneas de movilidad. Su formato CSAF (Common Security Advisory Framework) contiene 72 vulnerabilidades con CVE distintas; ocho reciben una puntuación base de CVSS 3.1 de 10,0. La cifra es llamativa, pero el aviso cubre varias ramas y rutas técnicas, no una única falla repetida en cada aparato de HPE.

Entre los casos con puntuación máxima aparecen fallos de bypass de autenticación, inyección de comandos, desbordamiento de búfer e inyección SQL. Por ejemplo, HPE describe CVE-2026-79845 en el protocolo PAPI de AOS-10 como una vía para saltar controles de autenticación y obtener acceso administrativo; CVE-2026-79846 permite inyección de comandos en ciertas interfaces de AOS-8 bajo precondiciones concretas. Algunas rutas permiten ejecución de código en el sistema operativo subyacente, pero esas condiciones no son idénticas en las 72 entradas.

-SecureCrew dice: poner ocho dieces en una tabla ayuda a priorizar; no convierte las otras 64 entradas en ruido ni explica por sí solo cómo llega cada ataque al equipo.-

Los vectores CVSS 3.1 de las ocho entradas máximas describen ataques de red con complejidad baja, sin privilegios previos ni interacción de la víctima. Ese vector resume una valoración de severidad, no una medición de ataques observados ni una garantía de que cada producto instalado exponga la misma interfaz. En algunas descripciones HPE añade precondiciones que el atacante no controla; en otras especifica el envío de paquetes especialmente construidos a la interfaz afectada.

HPE dijo que, en la fecha de publicación, no conocía discusión pública ni código de explotación dirigido a los fallos listados. Es una declaración acotada al momento del aviso; no afirma que cada entorno esté libre de ataques ni que las vulnerabilidades se hayan explotado. El boletín tampoco convierte por sí mismo todos los productos de la marca en afectados.

Comprueba la rama antes de actualizar

El alcance incluye Mobility Conductors y Controllers, gateways gestionados por HPE Networking Central, puntos de acceso AOS-10 y puntos instantáneos AOS-8. HPE especifica cinco ramas afectadas y cinco versiones corregidas; el Canadian Centre for Cyber Security publica los mismos límites y recomienda aplicar las actualizaciones. La versión de corrección cambia con la rama, así que no basta con pedir “la última AOS” sin identificar qué familia corre cada equipo.

| Rama | Versiones afectadas | Corrección indicada por HPE |

| --- | --- | --- |

| AOS-10.8.x.x | Hasta 10.8.1.1 | 10.8.1.2 o posterior |

| AOS-10.7.x.x | Hasta 10.7.2.6 | 10.7.2.7 o posterior |

| AOS-10.4.x.x | Hasta 10.4.1.13 | 10.4.1.14 o posterior |

| AOS-8.13.x.x | Hasta 8.13.3.0 | 8.13.3.1 o posterior |

| AOS-8.10.x.x | Hasta 8.10.0.23 | 8.10.0.24 o posterior |

El resumen de HPE excluye los productos y versiones que no aparecen en esas listas. Antes de desplegar, relaciona el número de versión con el rol y el modelo: un controlador, un gateway gestionado y un punto de acceso pueden pertenecer a una rama distinta aunque formen parte de la misma red inalámbrica. El aviso de Canadá sirve como contraste independiente de los cortes de versión, mientras el CSAF de HPE detalla cada CVE, sus puntuaciones y correcciones.

Como medida temporal, HPE recomienda restringir las interfaces de gestión por CLI y web a un segmento dedicado de capa 2 (VLAN) o controlarlas mediante políticas de firewall de capa 3 o superior; también pide controles de contabilidad para registrar actividad y uso de recursos. Es una mitigación de exposición, no un reemplazo del firmware corregido. Cambiar la ruta de administración puede afectar el acceso operativo, por lo que el diseño del control y el despliegue deben corresponder a la topología real.

-SecureCrew dice: una ACL bien puesta puede cerrar una puerta mientras llega el parche; primero hay que asegurarse de que no sea la puerta por la que entra también el equipo de redes.-

Con 72 CVE, una lista general de activos no alcanza si mezcla modelos y versiones. Conviene confirmar en cada unidad la rama AOS, contrastarla con la tabla y registrar la versión instalada tras la actualización. El dato decisivo es el build que ejecuta el dispositivo, no el hecho de que un punto de acceso o controlador se venda como parte de la misma familia.

-SecureCrew dice: “actualizado” es más útil cuando viene acompañado de una versión exacta y un inventario que permita volver a comprobarlo.-

Diccionario de la Crew

AOS (ArubaOS) — Sistema operativo inalámbrico de HPE Networking usado por controladores, gateways y puntos de acceso incluidos en el aviso.

CSAF — Formato estructurado para publicar avisos de seguridad con productos, versiones afectadas, CVE, puntuaciones y correcciones.

CVSS 3.1 — Sistema de puntuación de severidad; el valor base resume características técnicas del fallo, no la frecuencia de explotación.

VLAN — Segmento lógico de capa 2 que separa el tráfico de una red física compartida.