- تقوم HPE بتصحيح خمس نقاط ضعف في Aruba AOS-CX
- خطأ فادح (CVE-2026-23813) يسمح بإعادة تعيين كلمة مرور المسؤول
- تحث الشركة على التخفيف حتى يتم تطبيق الإصلاحات
حذرت شركة Hewlett Packard Enterprise (HPE) عملائها بعد اكتشاف خمس نقاط ضعف في منتجاتها، بما في ذلك واحدة يمكن لمجرمي الإنترنت استخدامها للسيطرة على نقاط نهاية معينة.
في الاستشارة الأمنية الصادرة حديثًا، قالت HPE إنها عالجت ثغرة خطيرة في تجاوز المصادقة والتي يمكن أن يستخدمها مهاجمون غير مصادق عليهم في هجمات منخفضة التعقيد، لإعادة تعيين كلمات مرور المسؤول. يتم الآن تتبع الخطأ باسم CVE-2026-23813، وله درجة خطورة تبلغ 9.1/10 (حرجة).
إنه يؤثر على نظام التشغيل Aruba Networking AOS-CX، وهو نظام تشغيل شبكة سحابية أصلي تم تصميمه لحرم سلسلة CX من HPE وأجهزة تبديل مركز البيانات.
يستمر المقال أدناه
التصحيحات والحلول
وقالت HPE في الاستشارة: “تم التعرف على ثغرة أمنية في واجهة الإدارة المستندة إلى الويب لمحولات AOS-CX والتي من المحتمل أن تسمح لممثل بعيد غير مصادق عليه بالتحايل على ضوابط المصادقة الحالية”. “في بعض الحالات قد يؤدي ذلك إلى تمكين إعادة تعيين كلمة مرور المسؤول.”
يتم الآن تتبع الثغرات الأمنية الأربع الأخرى باسم CVE-2026-23814، وCVE-2026-23815، وCVE-2026-23816، وCVE-2026-23817، والتي تؤثر على ما يبدو على AOS-CX 10.17.xxxx: 10.17.0001 وما دونه، AOS-CX 10.16.xxxx: 10.16.1020 والإصدارات الأقدم، AOS-CX 10.13.xxxx: 10.13.1160 والإصدارات الأقدم، وAOS-CX 10.10.xxxx: 10.10.1170 والإصدارات الأقدم.
والخبر السار هو أنه لا توجد تقارير عن سوء المعاملة في البرية حتى الآن.
إذا لم تتمكن من تطبيق الإصلاح على الفور، فقد شاركت HPE أيضًا قائمة بعمليات التخفيف المحتملة:
تقييد الوصول إلى جميع واجهات الإدارة إلى شريحة الطبقة الثانية المخصصة أو شبكة VLAN لعزل حركة مرور الإدارة عن حركة مرور الشبكة العامة،
تنفيذ سياسات صارمة في الطبقة 3 وما فوق للتحكم في الوصول إلى واجهات الإدارة، مع السماح فقط للمضيفين المعتمدين والموثوقين،
قم بتعطيل واجهات HTTP(S) على الواجهات الافتراضية المحولة (SVI) والمنافذ الموجهة حيثما لا يكون الوصول إلى الإدارة مطلوبًا،
فرض قوائم التحكم في الوصول إلى مستوى التحكم (ACLs) لحماية أي واجهات إدارة تدعم REST/HTTP، مما يضمن السماح للعملاء الموثوق بهم فقط بالاتصال بنقاط نهاية HTTPS/REST،
تمكين المحاسبة الشاملة والتسجيل والمراقبة لجميع أنشطة واجهة الإدارة لاكتشاف محاولات الوصول غير المصرح بها والاستجابة لها على الفور.
عبر BleepingComputer
أفضل برامج مكافحة الفيروسات لجميع الميزانيات
اتبع TechRadar على أخبار جوجل و أضفنا كمصدر مفضل للحصول على أخبار الخبراء والمراجعات والآراء في خلاصاتك. تأكد من النقر على زر المتابعة!
وبالطبع يمكنك أيضًا اتبع TechRadar على TikTok للحصول على الأخبار والمراجعات وفتح الصناديق في شكل فيديو، والحصول على تحديثات منتظمة منا على واتساب أيضاً.
التعليقات