Underc0de - La Casa de los Informáticos

Hewlett Packard Enterprise (HPE) ha publicado actualizaciones de seguridad para corregir una vulnerabilidad crítica en ArubaOS-CX, el sistema operativo utilizado en los switches empresariales de HPE Aruba Networking. Identificada como CVE-2026-73749, la falla de seguridad podría permitir que un atacante remoto y no autenticado consiga ejecutar código con privilegios elevados mediante el envío de paquetes especialmente diseñados.

El problema representa un riesgo importante para las organizaciones que utilizan infraestructura de red ArubaOS-CX, especialmente en entornos empresariales, gubernamentales, educativos, sanitarios y de centros de datos. HPE recomienda encarecidamente actualizar los dispositivos afectados a las versiones corregidas para reducir la superficie de ataque y evitar posibles compromisos de la infraestructura de red.

CVE-2026-73749: una vulnerabilidad crítica en ArubaOS-CX

La vulnerabilidad CVE-2026-73749 está relacionada con un desbordamiento de búfer en un daemon de ArubaOS-CX. De acuerdo con el boletín de seguridad de HPE, existen múltiples vulnerabilidades asociadas al procesamiento inadecuado de entradas malformadas.

En el caso de CVE-2026-73749, el escenario resulta especialmente preocupante porque no sería necesario que el atacante estuviera autenticado. Un actor malicioso con acceso a la red podría enviar paquetes manipulados al servicio vulnerable y desencadenar una condición que potencialmente permita la ejecución remota de código con privilegios elevados.

Este tipo de vulnerabilidad puede convertirse en un punto de entrada especialmente peligroso dentro de una infraestructura corporativa. Un switch comprometido no solo puede afectar directamente al dispositivo, sino que también puede proporcionar oportunidades para realizar reconocimiento de red, interceptar o manipular comunicaciones, alterar configuraciones o intentar avanzar hacia otros sistemas conectados.

Por ello, la actualización del firmware debe considerarse una prioridad para los administradores responsables de dispositivos ArubaOS-CX afectados.

Versiones de ArubaOS-CX afectadas y actualizaciones disponibles

HPE ha identificado diferentes ramas de ArubaOS-CX afectadas por las vulnerabilidades incluidas en su boletín de seguridad. Las organizaciones deben comprobar qué versión está instalada en sus dispositivos y aplicar la correspondiente actualización.

Las versiones y correcciones indicadas son las siguientes:

• ArubaOS-CX 10.18.0001: actualizar a 10.18.1002 o posterior.
• ArubaOS-CX 17.10.1021 y anteriores: actualizar a 17.10.1030 o posterior.
• ArubaOS-CX 16.10.1051 y anteriores: actualizar a 16.10.1060 o posterior.
• ArubaOS-CX 13.1180 y anteriores: actualizar a 13.1190 o posterior.
• ArubaOS-CX 10.10.1180 y anteriores: actualizar a 10.10.1181 o posterior.

Los administradores deben verificar cuidadosamente la rama de software utilizada en cada switch antes de realizar cualquier intervención y seguir las recomendaciones oficiales de HPE para llevar a cabo la actualización.

ArubaOS-CX: una pieza clave de las redes empresariales

ArubaOS-CX es la plataforma de software de red desarrollada por HPE Aruba Networking para sus switches empresariales. Su presencia en organizaciones de diferentes sectores convierte cualquier vulnerabilidad crítica en un asunto que merece especial atención.

Los switches de red desempeñan un papel fundamental en la conectividad de una organización, ya que permiten interconectar servidores, estaciones de trabajo, dispositivos IoT, puntos de acceso, sistemas de almacenamiento y otros componentes de la infraestructura tecnológica.

Una vulnerabilidad que permita la ejecución de código privilegiado puede, por tanto, tener consecuencias que vayan más allá del propio dispositivo afectado. Dependiendo de la arquitectura de cada red y de los controles de seguridad implementados, un atacante podría utilizar un equipo comprometido como punto de apoyo para intentar acceder a otros recursos.

Por esta razón, mantener actualizado ArubaOS-CX forma parte de una estrategia básica de seguridad de redes empresariales.

HPE también corrige otras 23 vulnerabilidades

El boletín de seguridad de HPE no se limita a CVE-2026-73749. El fabricante también aborda otras 23 vulnerabilidades de seguridad presentes en ArubaOS-CX, algunas de ellas con puntuaciones de gravedad consideradas altas, entre 8.1 y 8.8.

Entre los problemas destacados se encuentran vulnerabilidades que pueden provocar denegación de servicio, ejecución de comandos arbitrarios, escalada de privilegios, escritura de archivos y elusión de controles de autenticación.

Por ejemplo, CVE-2026-73750 puede ser explotada por un atacante remoto autenticado con bajos privilegios mediante entradas malformadas o truncadas, pudiendo provocar una denegación de servicio o incluso ejecución de código con privilegios elevados.

Por su parte, CVE-2026-73751 afecta a la interfaz de gestión web y puede permitir a un usuario autenticado con pocos privilegios ejecutar comandos arbitrarios en el sistema operativo subyacente.

Otra vulnerabilidad relevante es CVE-2026-73752, que puede ser aprovechada por un atacante no autenticado con acceso a la red adyacente para escribir archivos arbitrarios en el sistema operativo mediante un endpoint de API. Esta situación podría terminar facilitando la ejecución remota de código.

También se incluyen CVE-2026-73753, relacionada con operaciones de línea de comandos y ejecución de comandos como usuario privilegiado; CVE-2026-73782, asociada a una vulnerabilidad de cadena de formato; y CVE-2026-73781, que afecta a la interfaz web mediante una vulnerabilidad de cross-site scripting almacenado.

Riesgos adicionales para dispositivos que mantienen configuraciones predeterminadas

El conjunto de fallos también incluye problemas que pueden resultar especialmente peligrosos cuando los dispositivos no han sido correctamente configurados después de su instalación.

La vulnerabilidad CVE-2026-73778, por ejemplo, puede permitir a un atacante remoto no autenticado utilizar una contraseña predecible de fábrica para obtener control administrativo total sobre un switch que permanezca con la configuración predeterminada o después de un proceso de Zero Touch Provisioning (ZTP), antes de que un administrador configure las credenciales.

Asimismo, CVE-2026-73779 puede permitir a un atacante con acceso a la red adyacente eludir determinados controles de autenticación, con posibles consecuencias sobre la confidencialidad de la información, la configuración del dispositivo y la disponibilidad de los servicios.

A estas vulnerabilidades se suman CVE-2026-73780, relacionada con protecciones CSRF ausentes en determinadas sesiones autenticadas mediante certificados, y CVE-2026-73777, que puede permitir eludir controles de acceso y escalar privilegios mediante un endpoint de API.

ArubaOS-CX 10.10.1181 se encuentra en Fin del Mantenimiento

Un aspecto que las empresas deben tener especialmente en cuenta es el estado de soporte de ArubaOS-CX 10.10.1181.

HPE señala que esta versión ha alcanzado el Fin del Mantenimiento (EOM). Esto significa que la rama ya no recibe el mismo nivel de mantenimiento que las versiones activamente soportadas y únicamente obtiene correcciones para determinados problemas críticos y vulnerabilidades descubiertas internamente.

La situación también afecta a CVE-2026-73749. Por este motivo, las organizaciones que todavía dependan de ramas antiguas deberían evaluar no solo la instalación del parche disponible, sino también la conveniencia de planificar una migración hacia una versión de ArubaOS-CX con soporte vigente.

Mantener equipos de red críticos sobre versiones antiguas puede aumentar progresivamente el riesgo operativo y de seguridad.

¿Existe evidencia de explotación activa?

HPE indicó que, en el momento de publicar el boletín, no tenía conocimiento de explotaciones activas de las vulnerabilidades descritas ni de exploits de prueba de concepto disponibles públicamente dirigidos contra estos fallos.

Sin embargo, la ausencia de explotación conocida no significa que las organizaciones puedan retrasar indefinidamente las actualizaciones. Las vulnerabilidades de ejecución remota de código, especialmente cuando pueden ser explotadas sin autenticación, suelen convertirse en objetivos atractivos una vez que la información técnica y las versiones afectadas se hacen públicas.

El periodo posterior a la divulgación de una vulnerabilidad puede ser especialmente relevante para los equipos de seguridad, ya que investigadores y actores maliciosos pueden analizar los cambios introducidos por los parches para desarrollar técnicas de explotación.

Recomendaciones para administradores de ArubaOS-CX

Las organizaciones que utilizan switches ArubaOS-CX deberían tomar varias medidas para reducir el riesgo asociado a CVE-2026-73749 y al resto de vulnerabilidades corregidas por HPE.

En primer lugar, es recomendable realizar un inventario de los switches y comprobar las versiones de ArubaOS-CX instaladas. Posteriormente, los equipos afectados deben actualizarse a las versiones indicadas por HPE.

También resulta aconsejable revisar las configuraciones de administración, limitar la exposición de las interfaces de gestión, aplicar controles de acceso adecuados y evitar que los servicios administrativos estén directamente expuestos a redes no confiables.

En dispositivos recién desplegados, es igualmente importante cambiar las credenciales predeterminadas antes de ponerlos en producción y verificar que los procesos de aprovisionamiento automático no dejen configuraciones inseguras.

Finalmente, las organizaciones deberían monitorizar los registros y eventos de seguridad en busca de comportamientos anómalos, especialmente después de identificar un dispositivo vulnerable o expuesto.

En fin...

La vulnerabilidad CVE-2026-73749 en ArubaOS-CX debe considerarse un asunto prioritario para las organizaciones que utilizan switches empresariales de HPE Aruba Networking. Su capacidad potencial para permitir ejecución remota de código con privilegios elevados, combinada con la posibilidad de explotación por atacantes no autenticados, incrementa considerablemente su impacto potencial.

Además de CVE-2026-73749, HPE ha corregido otras 23 vulnerabilidades que afectan diferentes componentes y funciones de ArubaOS-CX, incluyendo problemas de autenticación, escalada de privilegios, ejecución de comandos, APIs, gestión web y denegación de servicio.

La recomendación principal para los administradores es clara: identificar inmediatamente los dispositivos afectados y actualizar ArubaOS-CX a una versión corregida. Las organizaciones que todavía utilizan ramas antiguas también deberían considerar una estrategia de actualización a versiones con soporte vigente.

Aunque HPE afirma no tener constancia de explotación activa ni de exploits públicos en el momento de la publicación del boletín, aplicar los parches cuanto antes sigue siendo una de las medidas más eficaces para reducir el riesgo de que esta vulnerabilidad crítica termine siendo utilizada contra infraestructuras de red empresariales.

Fuente: https://www.bleepingcomputer.com/