Уязвимость переполнения буфера в AOS-8 от HPE ведёт к удалённому выполнению кода (CVE-2026-95707)

Специалисты по информационной безопасности обратили внимание на новую уязвимость, затрагивающую сетевые решения Hewlett Packard Enterprise (HPE). Проблеме присвоен идентификатор CVE-2026-95707, а её наличие подтверждено в записи CVE Project (cvelistV5). Уязвимость относится к классу переполнения буфера и при определённых условиях позволяет аутентифицированному атакующему добиться удалённого выполнения кода (Remote Code Execution, RCE).

Подробности

Согласно записи CVE, уязвимость затрагивает продукт AOS-8 (ArubaOS 8) производства Hewlett Packard Enterprise. В официальном описании CVE Project конкретная версия продукта не указана — в поле Affected фигурирует запись «HPE Unknown product», поэтому точный перечень уязвимых сборок на момент публикации записи не определён. По этой же причине в записи отсутствует развёрнутое текстовое описание вектора атаки.

Тип уязвимости — переполнение буфера (Buffer Overflow), возникающее при обработке данных и приводящее к повреждению памяти. Ключевая особенность: эксплуатация возможна только после прохождения аутентификации, то есть злоумышленнику необходим действующий доступ к системе. Это несколько снижает вероятность массовых атак, однако в случае компрометации учётных данных или наличия вредоносного инсайдера последствия могут быть серьёзными — вплоть до полного контроля над устройством.

Уровень критичности по шкале CVSS составляет 7.2, что соответствует категории HIGH. Такая оценка отражает сочетание требований к аутентификации и потенциально высокого impact при успешной эксплуатации: выполнение произвольного кода на сетевом оборудовании может привести к нарушению периметра, перехвату трафика и дальнейшему развитию атаки внутри инфраструктуры.

Что делать

Поскольку официальное описание CVE не содержит конкретных версий и патчей, рекомендуется в первую очередь обратиться к бюллетеням безопасности HPE/Aruba и уточнить, какие релизы AOS-8 затронуты и какие обновления доступны. Общие меры защиты выглядят следующим образом:

• Проверить актуальность прошивки AOS-8 на всех эксплуатируемых контроллерах и точках доступа и установить обновление, как только HPE выпустит исправление.
• Ограничить доступ к интерфейсам управления оборудованием: не выставлять их в интернет, использовать сегментацию сети и списки разрешённых адресов.
• Ужесточить политику аутентификации — применять сложные пароли, MFA там, где это поддерживается, и принцип наименьших привилегий для учётных записей администраторов.
• Включить журналирование и мониторинг аномальной активности на сетевом оборудовании, чтобы своевременно выявлять попытки эксплуатации.
• До выхода патча рассмотреть компенсирующие меры: ограничение функциональности, изоляцию сегментов с оборудованием AOS-8 и усиленный контроль доступа.

Уязвимость CVE-2026-95707 в AOS-8 от HPE требует внимания администраторов сетевой инфраструктуры. Несмотря на необходимость аутентификации для эксплуатации, высокий балл CVSS 7.2 и возможность удалённого выполнения кода делают эту проблему значимой. Отсутствие подробностей в записи CVE подчёркивает важность отслеживания официальных бюллетеней вендора: именно там появятся сведения о затронутых версиях и исправлениях. Рекомендуется не откладывать инвентаризацию оборудования AOS-8 и подготовку к оперативному обновлению.

Источник: CVE Project (cvelistV5)