Hewlett-Packard Enterprise (HPE) on antanut kriittisen varoituksen kovakoodattuista valtakirjoista Aruban välittömässä tukiasemissa, mikä voisi antaa hyökkääjille mahdollisuuden ohittaa todennus ja saada hallinnollista hallintaa. Nämä tukiasemat on suunniteltu pienille ja keskisuurille yrityksille, jotka tarjoavat yritysluokan ominaisuuksia pilvi- ja mobiilisovellusten hallintaan.
CVE-2025-37103: n tunnistetussa turvallisuushaavossa on kriittinen CVSS V3.1 -pistemäärä 9,8. Se vaikuttaa välittömään tukiasemissa, joissa on laiteohjelmistoversio 3.2.0.1 ja aikaisemmin. HPE totesi ilmoituksessaan, että HPE -verkottumisen välitöntä löydettiin ”kovakoodatut kirjautumistiedot, jotka saivat sen, mikä antaa siitä tietoa normaalin laitteen todennuksen ohittaa.” Tämän puutteen onnistunut hyödyntäminen voisi antaa etähyökkääjälle täydellisen hallinnollisen pääsyn järjestelmään, koska valtakirjat on upotettu laiteohjelmistoon, mikä tekee heidän löytöstään suhteellisen yksinkertaisesti tietoisten toimijoiden kannalta.
Hallinnollisen pääsyn avulla hyökkääjät voivat muuttaa tukiasemia, uudelleenkonfigurointiturvaprotokollia, asentaa takaovia, suorittaa peitevalvontaa kaappaamalla verkkoliikennettä tai yrittämällä verkon sisällä sivuttaista liikettä. Haavoittuvuus löysi ja ilmoitti HPE: lle UbiseceCH Sirius -tiimin turvallisuustutkijaksi, joka tunnetaan nimellä ZZ.
HPE suosittelee voimakkaasti vaikutusvaltioiden käyttäjiä päivittämään laiteohjelmistoversioon 3.2.1.0 tai uudempaa riskin lieventämiseksi, koska kiertotapoja ei ole saatavana. HPE selitti, että CVE-2025-37103 ei vaikuta välittömään kytkimiin.
Samassa tiedotteessa HPE korosti myös toisen korkean vakavan haavoittuvuuden, CVE-2025-37102. Tämä virhe käsittää ARUBA Instant -yrityksen komentorivirajapinnan (CLI) todennettu komentoinjektio haavoittuvuus. Vaikka CVE-2025-37102 vaatii hallinnollista pääsyä hyväksikäyttöön, se voidaan ketjuttaa CVE-2025-37103: lla. Jos se hyödynnetään, se voi antaa uhka -toimijoille mahdollisuuden pistää mielivaltaisia komentoja CLI: hen, mikä mahdollisesti johtaa tietojen suodatukseen, turvallisuuden poistamiseen ja pysyvyyden luomiseen järjestelmässä. Tämä ongelma ratkaistaan myös päivittämällä laiteohjelmistoversioon 3.2.1.0 tai uudempi.
Tästä lähtien HPE Aruban verkottumisessa ei ole ilmoituksia näistä kahdesta haavoittuvuudesta, joita hyödynnetään luonnossa. Yhtiö korostaa kuitenkin turvallisuuspäivitysten soveltamisen tärkeyttä välittömästi, koska tämä tilanne voi muuttua nopeasti.
