ArubaOS-CX: Kritische Schwachstelle ermöglicht Remote-Codeausführung auf HPE-Switches

Hewlett Packard Enterprise hat eine kritische Schwachstelle in ArubaOS-CX behoben, dem Betriebssystem der Enterprise-Switches von HPE Aruba Networking. Der als CVE-2026-73749 identifizierte Fehler kann es einem entfernten Angreifer ohne Anmeldedaten ermöglichen, Code mit erweiterten Berechtigungen auszuführen.

Die Schwachstelle wurde am 3. September 2026 öffentlich bekannt und erhielt einen CVSS-Score von 9,8 von 10. HPE liegen keine Hinweise auf aktive Angriffe oder öffentliche Proofs of Concept vor. Aufgrund der technischen Eigenschaften sollten jedoch insbesondere über das Netzwerk erreichbare Geräte prioritär aktualisiert werden.

Das Security Bulletin umfasst außerdem 23 weitere Schwachstellen. Einige davon ermöglichen Command Injection, die Umgehung der Authentifizierung, das beliebige Schreiben von Dateien oder eine Rechteausweitung.

Ohne Authentifizierung ausnutzbarer Buffer Overflow

CVE-2026-73749 beruht auf einer unsicheren Verarbeitung von Eingaben, die ein Daemon von ArubaOS-CX empfängt. Ein Angreifer kann speziell präparierte Pakete an den verwundbaren Prozess senden, dadurch einen Buffer Overflow auslösen und möglicherweise Code auf dem Switch ausführen.

Dafür sind weder Anmeldedaten noch die Interaktion eines Administrators erforderlich. Der Angreifer muss den betroffenen Dienst jedoch über das Netzwerk erreichen können.

Der CVSS-Vektor — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — beschreibt einen entfernten Angriff mit geringer Komplexität und ohne erforderliche Berechtigungen. Die erwarteten Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils hoch.

Das Security Bulletin nennt weder die Pakete oder Protokolle, die den Fehler auslösen, noch den betroffenen Daemon. Außerdem wurden keine spezifischen Indicators of Compromise, Netzwerksignaturen oder Eingabesequenzen für Erkennungsmaßnahmen veröffentlicht.

Eine Kompromittierung mit erweiterten Berechtigungen könnte es ermöglichen, die Gerätekonfiguration zu verändern, Managementfunktionen zu beeinträchtigen oder den Datenverkehr zu unterbrechen. Die konkreten Folgen hängen auch von der Rolle des Switches im Netzwerk und der Segmentierung der Managementschnittstellen ab.

ArubaOS-CX wird in Unternehmensnetzwerken, Rechenzentren, Universitäten, Gesundheitseinrichtungen, Behörden und bei Service Providern eingesetzt. Ein erfolgreicher Angriff auf einen zentralen Switch kann daher weitreichendere Auswirkungen haben als die Kompromittierung eines einzelnen Geräts.

Diese Versionen müssen umgehend aktualisiert werden

HPE hat für jeden unterstützten Entwicklungszweig die Versionen mit den entsprechenden Korrekturen angegeben:

Verwundbare Version oder Entwicklungszweig	Mindestens erforderliche korrigierte Version
10.18.0001	10.18.1002 oder höher
10.17.1021 und älter	10.17.1030 oder höher
10.16.1051 und älter	10.16.1060 oder höher
10.13.1180 und älter	10.13.1190 oder höher
10.10.1180 und älter	10.10.1181 oder höher

Als Abhilfemaßnahme empfiehlt der Hersteller die Installation mindestens der für den jeweiligen Entwicklungszweig vorgesehenen korrigierten Version. Ein dem Update gleichwertiger Workaround wurde nicht beschrieben.

Besondere Aufmerksamkeit verdient der Zweig AOS-CX 10.10. Die Version 10.10.1181 hat bereits den Status End of Maintenance erreicht und erhält nur noch Korrekturen für intern von HPE identifizierte kritische Probleme. CVE-2026-73749 fällt unter diese Ausnahme. Der Einsatz einer EOM-Version schränkt jedoch den Handlungsspielraum bei der Behandlung künftiger Schwachstellen ein.

Nach der Installation sollten Administratoren auf jedem Switch überprüfen, welche Version tatsächlich aktiv ist. In redundanten Umgebungen muss das Update unter Berücksichtigung von Neustarts, Failover-Vorgängen und möglichen Unterbrechungen der Control Plane geplant werden.

Nicht nur CVE-2026-73749: Das Bulletin deckt mehrere Angriffsflächen ab

Die weiteren behobenen Schwachstellen zeigen, dass das Risiko nicht auf einen einzelnen Dienst beschränkt ist. Betroffen sind Weboberfläche, APIs, Kommandozeile, Managementmodule, Authentifizierungsmechanismen und Prozesse für das initiale Provisioning.

Zu den Schwachstellen mit einem CVSS-Score von 8,8 gehören:

• CVE-2026-73750 ermöglicht es einem entfernten Benutzer mit geringen Berechtigungen, fehlerhafte oder unvollständige Eingaben an ein Managementmodul zu senden. Mögliche Folgen sind ein Denial of Service oder die Ausführung von Code mit erweiterten Berechtigungen.
• CVE-2026-73751 ist eine Command-Injection-Schwachstelle in der Weboberfläche, die von einem Konto mit eingeschränkten Berechtigungen ausgenutzt werden kann.
• CVE-2026-73752 ermöglicht es einem nicht authentifizierten Angreifer im angrenzenden Netzwerk, über einen API-Endpunkt beliebige Dateien zu schreiben und dadurch die Voraussetzungen für eine spätere Codeausführung zu schaffen.
• CVE-2026-73753 ermöglicht es einem Benutzer mit geringen Berechtigungen, CLI-Operationen zu missbrauchen und Befehle als privilegierter Benutzer auszuführen.
• CVE-2026-73782 ist eine Format-String-Schwachstelle in der CLI, die sich ohne Authentifizierung aus einem angrenzenden Netzwerk zur Ausführung privilegierten Codes ausnutzen lässt.

Die Voraussetzung eines Zugriffs aus dem angrenzenden Netzwerk begrenzt die Angriffsfläche von CVE-2026-73752 und CVE-2026-73782 im Vergleich zu einer vollständig aus der Ferne ausnutzbaren Schwachstelle. Das Risiko in gemeinsam genutzten lokalen Netzwerken, zugänglichen Managementsegmenten oder Umgebungen, in denen ein Angreifer bereits ein anderes System kompromittiert hat, bleibt jedoch bestehen.

Weitere Probleme betreffen unmittelbar die Authentifizierung und administrative Sitzungen. CVE-2026-73779 kann eine Umgehung der Authentifizierungskontrollen ermöglichen; CVE-2026-73777 erlaubt es, Zugriffskontrollen an einem API-Endpunkt zu umgehen und die eigenen Berechtigungen zu erweitern.

CVE-2026-73778 nutzt dagegen ein vorhersehbares Standardpasswort aus. Das Risiko betrifft Geräte, die sich noch im Werkszustand befinden oder nach dem Zero-Touch-Provisioning noch nicht mit neuen Zugangsdaten konfiguriert wurden.

Im Webbereich handelt es sich bei CVE-2026-73781, bewertet mit CVSS 8,4, um eine Stored-Cross-Site-Scripting-Schwachstelle, die eine Interaktion mit einem Administrator erfordert. CVE-2026-73780 mit einem CVSS-Score von 8,3 nutzt fehlende CSRF-Schutzmechanismen in bestimmten zertifikatsbasiert authentifizierten Sitzungen aus. Das Opfer muss dazu eine vom Angreifer präparierte URL öffnen.

Keine bekannten Angriffe, aber keine direkt nutzbaren Indikatoren

Zum Zeitpunkt der Veröffentlichung erklärte HPE, keine Hinweise auf eine aktive Ausnutzung zu haben. Auch gezielte öffentliche Proofs of Concept für die aufgeführten Schwachstellen sind nicht bekannt.

Es wurde nicht mitgeteilt, dass CVE-2026-73749 in den Katalog der Known Exploited Vulnerabilities der CISA aufgenommen wurde. Daher gibt es derzeit weder ein Aufnahmedatum in den KEV-Katalog noch eine damit verbundene Frist für Bundesbehörden. Die aktuelle Lage unterscheidet die Schwachstelle von einer bereits nachweislich ausgenutzten Sicherheitslücke, macht die Behebung jedoch nicht weniger dringend.

Da keine spezifischen Indicators of Compromise vorliegen, sollte sich die Überwachung auf anomales Verhalten konzentrieren: unerwartete Abstürze oder Neustarts von Daemons, fehlerhafte Eingaben, ungewöhnliche Authentifizierungen, nicht autorisierte Änderungen, das Anlegen von Dateien sowie administrative Befehle, die sich nicht auf geplante Aktivitäten zurückführen lassen.

Auch direkte Zugriffe auf API-Endpunkte und die Weboberfläche aus anderen als den vorgesehenen Managementnetzen sollten überprüft werden. Änderungen an der Konfiguration, neue Konten, geänderte Zugangsdaten oder nicht autorisiert aktivierte Dienste erfordern eine umgehende Untersuchung.

Operative Maßnahmen zur Verringerung der Angriffsfläche

Als Erstes sollten alle ArubaOS-CX-Switches erfasst werden, einschließlich der Geräte an Außenstandorten, in Laboren und in getrennten Managementnetzen. Das Inventar sollte mindestens Modell, Softwarezweig, installierte Version, Netzwerkrolle und Erreichbarkeit der Managementschnittstellen dokumentieren.

Organisationen sollten anschließend:

1. die für den jeweiligen Entwicklungszweig erforderliche Mindestversion installieren;
2. die Migration von Systemen planen, die auf dem 10.10-Zweig mit End-of-Maintenance-Status basieren;
3. Webmanagement, APIs und CLI ausschließlich aus den erforderlichen Managementnetzen zugänglich machen;
4. Standardpasswörter auf neuen oder gerade per ZTP provisionierten Geräten sofort ersetzen;
5. Konten mit geringen Berechtigungen überprüfen, da mehrere Schwachstellen deren Zugriff in eine privilegierte Kontrolle umwandeln können;
6. Switch-Logs erfassen und zentralisieren und dabei Ereignisse vor und nach dem Update aufbewahren;
7. Konfigurationen, Dateien und administrative Aktivitäten auf bereits erfolgte Manipulationen prüfen.

Wie wichtig gültige Konten sind, zeigt auch der Blue Report 2026, der auf 338 Millionen Simulationen in Produktionsumgebungen basiert: Wenn Angreifer legitime Zugangsdaten verwenden, werden lediglich 37 % ihrer Aktionen blockiert. Im Fall von ArubaOS-CX ist dieser Wert besonders relevant für Schwachstellen, die nur minimale Anfangsberechtigungen erfordern und anschließend eine Rechteausweitung ermöglichen.