HPE AOS-CX修复CVE-2026-73749严重RCE漏洞

资讯专家

惠普企业（HPE）针对 Aruba Networking ArubaOS-CX（AOS-CX）平台发布安全更新，修复了34个CVE，其中包含多个严重级别的远程代码执行（RCE）漏洞。

根据HPE公告，AOS-CX 10.18.1002、10.17.1030、10.16.1060、10.13.1190和10.10.1181版本共解决了超过150个安全问题，这些问题大多被合并到少数CVE下统一追踪。

其中分值最高的是CVE-2026-73749，CVSS评分为9.8，涉及接近24个缺陷。漏洞根因是HPE面向企业交换机的数据库中心型操作系统（AOS-CX）对发送到某个未命名服务的畸形输入处理不当。未经身份验证的攻击者可向受影响服务发送特制数据包，从而实现提升权限后的远程代码执行。

此次更新还修复了22个高危CVE，可能导致拒绝服务（DoS）、远程代码执行、任意命令执行、在受害者浏览器中执行任意脚本、认证绕过、权限提升和信息泄露。其余11个中危CVE则涉及访问控制绕过、信息泄露、任意文件读取、DoS和权限提升。

HPE表示，多数漏洞由其内部安全团队发现，目前尚未获悉任何漏洞已在野外被利用。HPE网络建议用户将CLI和基于Web的管理接口限制在专用二层VLAN/网段内，或在三层及以上通过防火墙策略控制，并配合账户审计以跟踪和记录用户活动与资源使用。

建议受影响的用户尽快升级到修复版本：10.18.1002、10.17.1030、10.16.1060、10.13.1190或10.10.1181。

原文链接：https://www.securityweek.com/hpe-patches-critical-rce-vulnerabilities-in-aos-cx/