HPE cảnh báo lỗ hổng nghiêm trọng trên Aruba Networking cho phép chiếm quyền điều khiển

• Phạm vi ảnh hưởng: Các dòng sản phẩm Mobility Conductors, Controllers, Gateways và Access Points chạy AOS-8 và AOS-10.
• Mức độ nghiêm trọng: Tám lỗ hổng đạt điểm CVSS 10.0, cho phép thực thi mã từ xa (RCE) và chiếm quyền root.
• Khuyến nghị: Quản trị viên cần cập nhật ngay lên các phiên bản AOS-10.8.1.2, AOS-10.7.2.7, AOS-10.4.1.14, AOS-8.13.3.1 hoặc AOS-8.10.0.24.

Hewlett Packard Enterprise (HPE) vừa chính thức công bố bản tin bảo mật HPESBNW05162, cảnh báo về hàng loạt lỗ hổng bảo mật nghiêm trọng trong phần mềm Aruba Networking. Các lỗ hổng này tạo điều kiện cho kẻ tấn công thực hiện các hành vi xâm nhập trái phép, chiếm quyền điều khiển toàn bộ thiết bị mà không cần xác thực hợp lệ.

Phân tích kỹ thuật các lỗ hổng nghiêm trọng

Các lỗ hổng được phát hiện bao gồm nhiều dạng tấn công khác nhau như bypass xác thực, tiêm lệnh (command injection), tiêm SQL (SQL injection) và tràn bộ đệm (buffer overflow). Đáng chú ý, có tám mã CVE đạt mức điểm CVSS tối đa là 10.0, phản ánh mức độ nguy hiểm cực kỳ cao đối với hạ tầng mạng doanh nghiệp.

Các mã CVE trọng yếu cần lưu ý

Dưới đây là bảng tổng hợp các lỗ hổng chính được HPE công bố trong đợt cập nhật này:

Đối với lỗ hổng CVE-2026-79850, kẻ tấn công có thể vượt qua cơ chế xác thực của AOS-8 mà không cần thông tin đăng nhập, từ đó thực thi các lệnh hệ thống dưới quyền root. Trong khi đó, CVE-2026-79860 cho phép kẻ tấn công gửi các gói tin được chế tạo đặc biệt tới cổng UDP 8211 trên các hệ thống AOS-8 bị ảnh hưởng để kích hoạt lỗi.

Phạm vi ảnh hưởng và phiên bản bị lỗi

Các lỗ hổng này ảnh hưởng đến nhiều dòng sản phẩm bao gồm Mobility Conductors, Controllers, Gateways và các điểm truy cập (Access Points). Các phiên bản phần mềm cụ thể nằm trong diện nguy cơ bao gồm:

• Dòng AOS-10: Các phiên bản 10.8.1.1, 10.7.2.6, 10.4.1.13 và các bản phát hành cũ hơn.
• Dòng AOS-8: Các phiên bản 8.13.3.0, 8.10.0.23 và các bản phát hành cũ hơn.

⚠️ Cảnh báo quan trọng: Mặc dù HPE chưa ghi nhận các cuộc tấn công khai thác công khai (exploit code) tại thời điểm công bố, nhưng việc tồn tại các lỗ hổng RCE với điểm CVSS 10.0 khiến nguy cơ bị khai thác là rất lớn. Quản trị viên cần ưu tiên cập nhật bản vá ngay lập tức.

Hướng dẫn khắc phục và giảm thiểu rủi ro

HPE khuyến nghị người dùng nâng cấp lên các phiên bản phần mềm đã được vá lỗi để đảm bảo an toàn hệ thống. Các phiên bản an toàn bao gồm: AOS-10.8.1.2, AOS-10.7.2.7, AOS-10.4.1.14, AOS-8.13.3.1 hoặc AOS-8.10.0.24.

Trong trường hợp chưa thể thực hiện nâng cấp ngay lập tức, các chuyên gia bảo mật khuyến nghị áp dụng các biện pháp giảm thiểu tạm thời (workaround) sau:

• Cô lập mạng quản trị: Hạn chế quyền truy cập vào giao diện dòng lệnh (CLI) và giao diện quản lý web bằng cách đưa chúng vào các phân đoạn mạng (VLAN) chuyên dụng.
• Cấu hình Firewall: Thiết lập các quy tắc tường lửa nghiêm ngặt để chặn các truy cập không xác định vào các cổng dịch vụ nhạy cảm.
• Giám sát hoạt động: Kích hoạt các tính năng ghi nhật ký (logging) và theo dõi hoạt động của người dùng để phát hiện sớm các hành vi bất thường.

Để biết thêm chi tiết về các bản cập nhật, quản trị viên có thể truy cập vào HPE Networking Support Portal để tải về các bản firmware mới nhất. Việc duy trì hệ thống trên các phiên bản được hỗ trợ là yếu tố then chốt để bảo vệ hạ tầng mạng trước các mối đe dọa tiềm tàng.