HPE corrige una vulnerabilidad crítica en ArubaOS-CX que permite la ejecución remota de código

Hew­lett Pac­kard En­ter­pri­se ha lan­za­do co­rrec­cio­nes para so­lu­cio­nar un fallo crí­ti­co de eje­cu­ción re­mo­ta de có­di­go en el sis­te­ma ope­ra­ti­vo de red Aru­baOS-CX. Este pro­ble­ma de se­gu­ri­dad, pro­vo­ca­do por un des­bor­da­mien­to de búfer y re­gis­tra­do con un có­di­go es­pe­cí­fi­co, per­mi­te que ata­can­tes re­mo­tos sin au­ten­ti­car en­víen pa­que­tes ma­ni­pu­la­dos a un pro­ce­so del de­mo­nio afec­ta­do para lo­grar la eje­cu­ción de có­di­go con pri­vi­le­gios ele­va­dos, de­bi­do a un pro­ce­sa­mien­to in­co­rrec­to de en­tra­das mal for­ma­das.

El bo­le­tín de se­gu­ri­dad de­ta­lla las ver­sio­nes de lan­za­mien­to afec­ta­das junto con sus res­pec­ti­vas ac­tua­li­za­cio­nes ne­ce­sa­rias para so­lu­cio­nar el pro­ble­ma. Ade­más, la com­pa­ñía ad­vier­te que una de las ver­sio­nes men­cio­na­das ya ha al­can­za­do el fin de su man­te­ni­mien­to, por lo que úni­ca­men­te re­ci­be co­rrec­cio­nes para pro­ble­mas crí­ti­cos des­cu­bier­tos de forma in­ter­na, con­di­ción que se apli­ca a este caso. El sis­te­ma ope­ra­ti­vo afec­ta­do se uti­li­za en con­mu­ta­do­res de red de ca­te­go­ría em­pre­sa­rial em­plea­dos por gran­des com­pa­ñías, agen­cias gu­ber­na­men­ta­les, uni­ver­si­da­des, cen­tros de datos, pro­vee­do­res de ser­vi­cios y or­ga­ni­za­cio­nes de salud.

Adi­cio­nal­men­te, el bo­le­tín de se­gu­ri­dad abar­ca otras vul­ne­ra­bi­li­da­des adi­cio­na­les con ca­li­fi­ca­cio­nes de gra­ve­dad alta, las cua­les per­mi­ten di­ver­sos es­ce­na­rios de ata­que. Entre estos ries­gos se in­clu­yen la eje­cu­ción de co­man­dos ar­bi­tra­rios, la de­ne­ga­ción de ser­vi­cio, la es­cri­tu­ra de ar­chi­vos en el sis­te­ma ope­ra­ti­vo sub­ya­cen­te, la omi­sión de con­tro­les de ac­ce­so y au­ten­ti­ca­ción, el uso de con­tra­se­ñas de fá­bri­ca pre­de­ci­bles antes de la con­fi­gu­ra­ción y pro­ble­mas en la in­ter­faz de ges­tión web. La com­pa­ñía insta en­fá­ti­ca­men­te a los usua­rios a ac­tua­li­zar hacia las ver­sio­nes co­rre­gi­das se­ña­la­das en el bo­le­tín.