HPE patcha RCE critica in ArubaOS-CX: due path indipendenti nello stesso switch

HPE ha pubblicato il 1 settembre 2026 il bulletin HPESBNW05134 con patch per 34 vulnerabilità in ArubaOS-CX, il sistema operativo dei suoi switch enterprise. Due di queste sono RCE non autenticate con meccanismi completamente distinti: una buffer overflow in un daemon di rete con accesso da internet, l'altra format string nella CLI con accesso da rete adiacente. La coesistenza di path indipendenti con lo stesso impatto finale solleva interrogativi sulla solidità del processo di secure development del sistema operativo di rete.

La RCE da 9.8: buffer overflow nel daemon di rete

Il cuore del rischio è CVE-2026-73749, collezione di multiple vulnerabilità buffer overflow raggruppate sotto un identificatore. Secondo l'advisory ufficiale HPE, un daemon di ArubaOS-CX processa in modo improprio input malformati. Un attaccante remoto non autentico invia pacchetti crafted al servizio affetto per innescare corruzione di memoria e ottenere esecuzione di codice con privilegi elevati.

Il vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H conferma la piena raggiungibilità da rete senza prerequisiti di autenticazione o interazione utente. È la combinazione più pericolosa per un dispositivo infrastrutturale: lo switch non deve essere raggiungibile da internet per essere a rischio, basta che un attaccante abbia accesso alla rete a cui è esposto il servizio vulnerabile.

HPE non ha divulgato il nome del daemon né il protocollo o la porta coinvolti. Questo limite, comune nelle advisory vendor per prevenire la creazione accelerata di exploit, impedisce alle organizzazioni di applicare controlli di rete specifici oltre al patching.

"Multiple vulnerabilities exist in a daemon of ArubaOS-CX that may allow for improper processing of malformed input. An unauthenticated remote attacker could exploit these vulnerabilities by sending specially crafted packets to the affected service. Successful exploitation could result in remote code execution with elevated privileges." — HPE Advisory HPESBNW05134

Il secondo path: format string nella CLI con accesso adiacente

Nello stesso bulletin emerge CVE-2026-73782, RCE non autenticata con CVSS 8.8 e vettore AV:A (adjacent network). Il meccanismo è diverso: una format string vulnerability nella command-line interface, non nella pila di rete. L'attaccante deve trovarsi sulla stessa rete del dispositivo, ma non necessita di credenziali per raggiungere l'esecuzione di codice con privilegi elevati.

L'analisi di TechTimes distingue esplicitamente i due path: buffer overflow nel daemon per CVE-2026-73749, format string in CLI per CVE-2026-73782. La separazione dei componenti vulnerabili — stack di rete e interfaccia di gestione — indica che le difese superficiali su singoli servizi non sarebbero sufficienti a mitigare entrambi i vettori.

La presenza di due bug con lo stesso impatto finale (RCE privilegiata) ma radici tecniche distinte nello stesso ciclo di rilascio solleva la questione della profondità del review di sicurezza in AOS-CX. Non si tratta di una singola superficie di attacco difettosa, ma di pattern di sviluppo che generano classi di vulnerabilità diverse in componenti separate.

Il resto del bulletin: 34 CVE e ~150 flaw corretti

Il bulletin HPESBNW05134 comprende 34 identificatori CVE. Secondo SecurityWeek, contando le multiple istanze raggruppate sotto singoli identificatori, il totale di flaw risolti si avvicina a 150. La distribuzione per severità: una Critical (9.8), 22 CVE High-severity con impatto DoS, RCE, command execution, XSS, auth bypass e privilege escalation, e 11 CVE Medium-severity per access controls bypass, information disclosure, arbitrary file reads, DoS e privilege escalation.

Due CVE aggiuntive meritano attenzione per il profilo di rischio infrastrutturale. CVE-2026-73752 (CVSS 8.8, AV:A) permette arbitrary file write non autenticato via API endpoint, secondo BleepingComputer. CVE-2026-73778 (CVSS 8.1, AV:N) consente accesso amministrativo completo tramite password factory-default prevedibile. Quest'ultima è particolarmente insidiosa perché non richiede vulnerabilità di implementazione: sfrutta una configurazione di fabbrica nota o derivabile.

La maggior parte delle vulnerabilità è stata scoperta internamente da HPE, due tramite il bug bounty program. Il dossier non specifica quali CVE derivino dal programma esterno.

Cosa fare adesso

HPE ha reso disponibili le versioni corrette per cinque branch: 10.18.1002, 10.17.1030, 10.16.1060, 10.13.1190 e 10.10.1181. Il branch 10.10.x è End of Maintenance e riceve correzioni solo per vulnerabilità critiche interne; la presenza della patch 10.10.1181 conferma che CVE-2026-73749 rientra in questa categoria. Le organizzazioni su branch precedenti devono pianificare migrazione a versioni supportate.

L'advisory vendor raccomanda di restringere le interfacce di gestione CLI e web-based a un segmento layer 2 dedicato/VLAN e/o di controllarle tramite policy firewall a layer 3 e superiori. Questa indicazione, citata da SecurityWeek dalla fonte primaria, riduce l'esposizione di superfici di gestione ma non mitiga il vettore di rete di CVE-2026-73749 se il daemon vulnerabile è raggiungibile su interfacce di produzione.

La criticità 9.8 con accesso da rete e l'assenza di exploit confermati creano una finestra di opportunità temporale. I sistemi non patchati restano esposti a potenziale sviluppo di PoC pubblici, fenomeno tipico per vulnerabilità network-facing con vettori ben definiti. La priorità operativa è l'applicazione delle patch su switch con gestione diretta o esposizione a segmenti di rete non completamente fidati.

Perché due path indipendenti pesano più di una singola RCE

La lettura tecnica va oltre la cronaca delle singole CVE. In un sistema operativo di rete maturo come AOS-CX, la comparsa simultanea di buffer overflow nel dataplane e format string nella CLI suggerisce che i controlli di sicurezza automatici o il code review umano non stanno intercettando classi di bug fondamentali. Il buffer overflow implica mancanza di bounds checking in codice network-facing; la format string indica uso non sicuro di funzioni di formattazione in input utente.

Entrambe le classi sono note da decenni e rilevabili con strumenti di analisi statica e dinamica. La loro coesistenza in componenti diverse dello stesso rilascio solleva interrogativi sulla copertura del secure development lifecycle applicato al codebase AOS-CX. HPE non ha commentato pubblicamente questo aspetto sistemico.

FAQ

È necessario che lo switch sia esposto a internet per essere vulnerabile?

No. Il vettore AV:N di CVE-2026-73749 richiede solo raggiungibilità di rete, non necessariamente esposizione pubblica. In ambienti aziendali con segmentazione imperfetta o accesso laterale da endpoint compromessi, il rischio resta concreto.

Perché CVE-2026-73749 ha un punteggio più alto di CVE-2026-73782 se entrambe sono RCE?

La differenza sta nel vettore di accesso: 9.8 per AV:N (rete qualsiasi), 8.8 per AV:A (rete adiacente). Il sistema CVSS v3.1 premia la raggiungibilità senza barriere di prossimità fisica o di segmento.

Il firmware 10.10.1181 è una soluzione a lungo termine?

No. Il branch 10.10.x è End of Maintenance. La patch è eccezionale per criticità interna. Le organizzazioni devono migrare a branch supportati per ricevere fix regolari.

Fonti

• https://www.securityweek.com/hpe-patches-critical-rce-vulnerabilities-in-aos-cx/
• https://securityonline.info/hpe-aos-cx-cve-2026-73749-rce/
• https://www.hendryadrian.com/hpe-patches-critical-rce-vulnerabilities-in-aos-cx/
• https://dev.to/anoymask/arubaos-cx-cve-2026-73749-unauthenticated-rce-via-input-processing-flaw-in-daemon-5b08
• https://www.bleepingcomputer.com/news/security/hpe-patches-critical-arubaos-cx-remote-code-execution-flaw/
• https://www.techtimes.com/articles/326586/20260904/hpe-patches-arubaos-cx-two-independent-no-credentials-rce-paths-found-same-bulletin.htm
• https://socradar.io/blog/cve-2026-73749-hpe-arubaos-cx-rce/
• https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw05134en_us&docLocale=en_US
• https://podcast.securityweek.com/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti