HPE, Aruba kablosuz ağ işletim sistemlerinde 72 açık kapattı, sekizinin puanı 10

Hewlett Packard Enterprise (HPE), 22 Ekim’de yayımladığı HPESBNW05162 numaralı güvenlik bülteninde, Aruba markasıyla bilinen kablosuz ağ ürünlerinin işletim sistemleri AOS-8 ve AOS-10’daki çok sayıda açığı kapattı. Bültende 72 CVE numarası yer alıyor. Bunların sekizinin CVSS 3.1 puanı en yüksek değer olan 10, on tanesininki ise 9.8.

HPE’ye göre açıkların büyük bölümünü şirketin kendi güvenlik araştırmacıları buldu. Şirket, bülten yayımlandığında bu açıkları hedef alan herhangi bir kamuya açık tartışma ya da saldırı kodu bilmediğini belirtiyor. Ancak açıkların karmaşıklığı, genişliği ve etkisi nedeniyle müşterilerin güncellemeyi mutlaka yapmasını istiyor.

Etkilenen ürünler

Açıklar, AOS-8 ve AOS-10 çalıştıran şu ürünleri etkiliyor:

• Mobility Conductor’lar ve Mobility Controller’lar
• HPE Networking Central üzerinden yönetilen Mobility Gateway’ler
• AOS-10 erişim noktaları (AOS-AP)
• AOS-8 Instant erişim noktaları (AOS-IAP)

HPE, etkilenen sürümlerle uyumlu her donanımın, erişim noktasının ve sanal makinenin açığa açık olduğunu, bültendeki donanım listesinin ise yalnızca örnek amaçlı olduğunu vurguluyor. Bakım süresi dolmuş (End of Maintenance) sürümlerin de aksi belirtilmedikçe etkilendiği varsayılıyor.

En ciddi açıklar

Puanı 10 olan sekiz açığın hepsi kimlik doğrulama gerektirmiyor:

• CVE-2026-79844 ve CVE-2026-79850: AOS-10 ve AOS-8’de kimlik doğrulamanın atlatılıp alttaki işletim sisteminde komut çalıştırılmasına yol açan açıklar
• CVE-2026-79845: AOS-10’un PAPI protokolünde kimlik doğrulamanın atlatılması. HPE’ye göre saldırgan yönetici erişimi alıp sistem ayarlarını değiştirebiliyor.
• CVE-2026-79846: AOS-8’de giriş gerektirmeyen komut enjeksiyonu
• CVE-2026-79847 ve CVE-2026-79851: AOS-10’da giriş gerektirmeyen, kod çalıştırmaya giden bellek taşması açıkları
• CVE-2026-79848 ve CVE-2026-79849: AOS-8’de kod çalıştırmaya giden SQL injection açıkları

HPE, bu açıkların bir kısmının saldırganın kontrolü dışındaki bazı ön koşullar sağlandığında kullanılabildiğini belirtiyor. Puanı 9.8 olan açıklar arasında AOS-8’in SSH servisinde kimlik doğrulamanın atlatılması (CVE-2026-79855) ve PAPI protokolündeki komut enjeksiyonu ile SQL injection açıkları da var. Puanı 9.6 olan açıklar ise saldırganın aynı yerel ağda (bitişik ağ) bulunmasını gerektiriyor.

Etkilenen ve düzeltilmiş sürümler

• AOS-10.8: 10.8.1.1 ve öncesi etkileniyor, düzeltilmiş sürüm 10.8.1.2
• AOS-10.7: 10.7.2.6 ve öncesi etkileniyor, düzeltilmiş sürüm 10.7.2.7
• AOS-10.4: 10.4.1.13 ve öncesi etkileniyor, düzeltilmiş sürüm 10.4.1.14
• AOS-8.13: 8.13.3.0 ve öncesi etkileniyor, düzeltilmiş sürüm 8.13.3.1
• AOS-8.10: 8.10.0.23 ve öncesi etkileniyor, düzeltilmiş sürüm 8.10.0.24

Destek süresi bitmiş sürümlerdeki etki HPE tarafından değerlendirilmedi. Bu sürümleri kullananların, sistemlerini etkilenmiş saymaları ve desteklenen bir sürüme geçmeleri öneriliyor.

Önerilen önlemler

Cihazları kullandığınız seriye göre yukarıdaki düzeltilmiş sürüme güncelleyin. Güncellemeler HPE Networking destek portalından indirilebiliyor.

Güncelleme hemen yapılamıyorsa HPE, komut satırı (CLI) ve web tabanlı yönetim arayüzlerinin yalnızca bu iş için ayrılmış bir katman 2 bölümüne ya da VLAN’a alınmasını veya katman 3 ve üzerinde güvenlik duvarı kurallarıyla sınırlanmasını öneriyor. Kullanıcı işlemlerinin kaydının tutulması da önerilenler arasında. HPE bu önlemleri saldırı olasılığını azaltmak için öneriyor, asıl çağrısı ise güncellemenin yapılması.