A Hewlett Packard Enterprise (HPE) corrigiu uma vulnerabilidade crítica de contorno de autenticação no daemon SSH (Secure Shell) de seu sistema operacional para redes sem fio AOS-8.
A falha, catalogada como CVE-2026-79855 (Common Vulnerabilities and Exposures), poderia permitir que um invasor remoto, sem autenticação, obtivesse privilégios administrativos e comprometesse totalmente um equipamento afetado.
A vulnerabilidade tem pontuação 9,8 no CVSS (Common Vulnerability Scoring System) v3.1, o que indica alta gravidade. Invasores podem explorá-la pela rede, com baixa complexidade, sem credenciais ou interação do usuário, e ela pode afetar significativamente a confidencialidade, a integridade e a disponibilidade.
Falha no AOS-8 da HPE Aruba
A HPE atribuiu a descoberta a seus pesquisadores internos de segurança de redes. O boletim de segurança HPESBNW05162, publicado em 22 de outubro, detalha a vulnerabilidade SSH.
O boletim documenta 72 vulnerabilidades nos sistemas AOS-8 e AOS-10, incluindo contornos de autenticação, injeção de comandos e de SQL (Structured Query Language), estouros de buffer, corrupção de memória, travessia de diretórios, vazamento de informações, cross-site scripting, manipulação de arquivos e condições de negação de serviço.
Várias dessas falhas receberam a pontuação máxima do CVSS, 10,0, e permitem a execução remota de código sem autenticação.
As versões afetadas incluem o AOS-10 10.8.1.1 e anteriores, 10.7.2.6 e anteriores, e 10.4.1.13 e anteriores, dentro dos ramos suportados.
Instalações do AOS-8 com as versões 8.13.3.0 e anteriores ou 8.10.0.23 e anteriores também estão vulneráveis. A exposição se estende a Mobility Conductors, Mobility Controllers e Central-managed Mobility Gateways compatíveis, pontos de acesso AOS-10, pontos de acesso Instant do AOS-8 e implantações virtuais associadas.
Invasores poderiam explorar diversas fraquezas para obter controle privilegiado, alterar configurações de redes sem fio, acessar dados sensíveis, comprometer sistemas de arquivos, interromper serviços de rede ou executar código no sistema operacional subjacente. Preocupam especialmente as falhas que afetam o protocolo PAPI de gerenciamento de pontos de acesso.
Por exemplo, a CVE-2026-79860 tem como alvo a porta UDP (User Datagram Protocol) 8211, com pacotes especialmente elaborados. Outras vulnerabilidades do PAPI também permitem injeção de comandos, injeção de SQL, estouros de buffer ou contorno de autenticação.
Administradores são instados a atualizar imediatamente para o AOS-10 10.8.1.2, 10.7.2.7 ou 10.4.1.14, conforme o ramo de lançamento. Usuários do AOS-8 devem atualizar para a versão 8.13.3.1 ou 8.10.0.24.
A HPE afirmou não ter conhecimento de discussões públicas ou códigos de exploração relacionados a essas vulnerabilidades quando lançou o boletim, mas enfatizou a necessidade de correção rápida devido à abrangência, à complexidade e ao potencial impacto delas.
Se atualizações imediatas não forem viáveis, a HPE recomenda isolar as interfaces de linha de comando e de gerenciamento web em um segmento de camada 2 dedicado ou em uma VLAN (rede local virtual), aplicar controles de firewall de camada 3 ou superior e implementar mecanismos de contabilidade para rastrear e registrar a atividade dos usuários e o uso de recursos. Embora essas medidas possam reduzir a exposição, elas não substituem a necessidade de correções do fabricante.
O alerta reforça a importância de limitar o acesso ao plano de gerenciamento. Muitas vulnerabilidades não exigem privilégios ou interação do usuário, o que torna os serviços administrativos expostos um possível caminho para comprometer a infraestrutura.
As equipes de segurança devem inventariar equipamentos e instâncias virtuais, verificar as versões de software em uso, revisar registros de firewall e de autenticação em busca de acessos ao gerenciamento e priorizar os sistemas acessíveis pela internet ou alcançáveis antes de tratar as demais implantações. Também devem trocar as credenciais caso haja suspeita de comprometimento.
