Der Hersteller Hewlett Packard Enterprise hat Aktualisierungen für sein Netzwerkbetriebssystem ArubaOS-CX veröffentlicht. Im Mittelpunkt steht CVE-2026-73749, eine kritische Schwachstelle, die entfernte Codeausführung ermöglichen kann.
Technisch handelt es sich um einen Pufferüberlauf in einem Daemon-Prozess. Angreifer benötigen weder Zugangsdaten noch lokalen Zugriff: Es genügt, speziell präparierte Pakete an den betroffenen Dienst zu senden. Gelingt das, lässt sich Code mit erhöhten Rechten ausführen.
Im Sicherheitsbulletin beschreibt HPE das Problem so, dass in einem Daemon von ArubaOS-CX mehrere Schwachstellen existieren, die zu einer unsachgemäßen Verarbeitung fehlerhafter Eingaben führen können. Ein nicht authentifizierter Angreifer aus der Ferne könne sie ausnutzen, indem er speziell gestaltete Pakete an den betroffenen Dienst schicke.
Das Bulletin listet die betroffenen Release-Zweige samt der jeweils korrigierten Versionen auf. Gesondert weist HPE darauf hin, dass die Version AOS-CX 10.10.1181 das Ende der Wartung (End of Maintenance) erreicht hat und nur noch Korrekturen für intern entdeckte, kritische Probleme erhält – eine Bedingung, die auch für CVE-2026-73749 gilt.
ArubaOS-CX läuft auf den Switches von HPE Aruba Networking für den professionellen Einsatz. Zur typischen Nutzerschaft zählen laut Bericht große Unternehmen, Behörden, Universitäten, Organisationen im Gesundheitswesen, Rechenzentren und Service-Provider. Entsprechend breit ist der Kreis potenziell betroffener Umgebungen.
Über die kritische Lücke hinaus deckt dasselbe Bulletin 23 weitere Sicherheitslücken ab. Ein Teil davon ist mit hohem Schweregrad bewertet, mit Werten zwischen 8,1 und 8,8. HPE empfiehlt seinen Kunden nachdrücklich, auf eine der im Bulletin aufgeführten korrigierten Versionen umzusteigen.
Zum Zeitpunkt der Veröffentlichung des Bulletins war HPE nach eigenen Angaben weder eine aktive Ausnutzung der aufgeführten Schwachstellen noch ein öffentlich verfügbarer Proof-of-Concept-Exploit bekannt.