Laburpen exekutiboa
HPE Aruba Networking-ek kalteberatasun kritiko ugari detektatu ditu Telco Service8 Orchestrator-en, sistema seguritatea arriskuan jartzen dutenak. Kalteberatasun hau, CVE-2025-37184 (CVSS 9.8), urruneko, autentifikatu gabeko erasotzaile batek autentifikazio multifaktoriala saihestea ahalbidetzen du, segurtasun kontrolik gabe administratzaile kontuak sortzea erraztuz. Gainera, CVE-2026-41293 (CVSS 9.8) sarrera balidazio ez egokia aurkezten du Apache Tomcat-en, kode ez baimendua exekutatzea ahalbidetu dezakeena. Arrisku hauek arintzeko, berehala eguneratu behar dira zuzendutako bertsioetara (9.6.1+, 9.5.6+, 9.4.8+), irtenbide temporalik ez dagoelako. Une honetan, ez da esplotazio aktiborik reportatu, baina kalteberatasun hauen larritasunak arreta urgentea eskatzen du.
Eragindako baliabideak
- HPE Aruba Networking EdgeConnect SD-WAN Orchestrator 9.6.x (9.6.0)
- HPE Aruba Networking EdgeConnect SD-WAN Orchestrator 9.5.x (9.5.5 eta azpikoak)
- HPE Aruba Networking EdgeConnect SD-WAN Orchestrator 9.4.x (9.4.7 eta azpikoak)
- HPE Aruba Networking EdgeConnect SD-WAN Orchestrator 9.3.x (bertsio guztiak eragindakoak)
- HPE Aruba Networking EdgeConnect SD-WAN Orchestrator 9.2.x (bertsio guztiak eragindakoak)
- HPE Telco Service Orchestrator (5.6.1 baino lehenagoko bertsioak)
Azterketa teknikoa
- CVE-2025-37184: Orchestrator zerbitzu batean kalteberatasun bat urruneko, autentifikatu gabeko erasotzaile bati autentifikazio multifaktoriala saihesteko aukera ematen dio. Honek administratzaile erabiltzaile kontu bat sortzea ahalbidetu dezake, segurtasun kontrol egokirik gabe, sistema segurura sartzeko. Kalteberatasun hau esplotatzeko, aurretiko autentifikaziorik ez da behar.
- CWE-287
- CVSS: 9.8 (kritikoa)
- CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- Esplotazioa: Ez da detektatu
- CVE-2026-41293: Apache Tomcat-en sarrera balidazio ez egokiak kalteberatasun bat sortzen du, erasotzaile batek datu baliogabeak bidaltzea ahalbidetuz, sistema seguritatea arriskuan jarriz. Honek kode ez baimendua exekutatzea edo informazio sentikorra eskuratzeko aukera eman dezake. Erasotzaileak aplikazioaren interfazera sarbidea izan behar du kalteberatasun hau esplotatzeko. Arazoa konpontzeko, [FIXED_VERSION] bertsiora eguneratzea gomendatzen da.
- CWE-20
- CVSS: 9.8 (kritikoa)
- CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- Esplotazioa: Ez da detektatu
- CVE-2026-41284: Apache Tomcat-en baliabideak mugagabeak edo araututakoak ez diren asignatzeak zerbitzariaren baliabideak gehiegi erabiltzea ahalbidetu dezake. Honek errendimenduaren beherakada edo zerbitzuaren etenaldia ekar dezake. Erabiltzaileei [FIXED_VERSION] bertsiora eguneratzea gomendatzen zaie arazo hau arintzeko.
- CWE-770
- CVSS: 7.5 (altua)
- CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
- Esplotazioa: Ez da detektatu
- CVE-2025-37181: EdgeConnect SD-WAN Orchestrator-en web kudeaketa interfazeko kalteberatasunek urruneko, autentifikatu gabeko erasotzaile bati SQL injezioak egitea ahalbidetu dezakete. Honek datu ez baimenduen sarbidea eta manipulazioa ekar dezake datu-basean. Esplotazioa egiteko, erasotzaileak sistema eskuratzeko baliozko kredentzialak izan behar ditu.
- CWE-89
- CVSS: 7.2 (altua)
- CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
- Esplotazioa: Ez da detektatu
- CVE-2025-37183: EdgeConnect SD-WAN Orchestrator-en web kudeaketa interfazeko kalteberatasunek urruneko, autentifikatu gabeko erasotzaile bati SQL injezioak egitea ahalbidetu dezakete. Honek datu ez baimenduen sarbidea eta informazio kritikoaren manipulazioa ekar dezake. Esplotazioa egiteko, erasotzaileak sisteman autentifikatu behar du.
- CWE-89
- CVSS: 7.2 (altua)
- CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
- Esplotazioa: Ez da detektatu
- CVE-2025-37182: EdgeConnect SD-WAN Orchestrator-en web kudeaketa interfazeko kalteberatasunek urruneko eta autentifikatu gabeko erasotzaile bati SQL injezioak egitea ahalbidetu dezakete. Honek datu ez baimenduen sarbidea eta datu-basean manipulazioa ekar dezake. Kalteberatasun hauek esplotatzeko, erasotzaileak sisteman autentifikatu behar du.
- CWE-89
- CVSS: 7.2 (altua)
- CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
- Esplotazioa: Ez da detektatu
- CVE-2025-37185: EdgeConnect SD-WAN Orchestrator-en web kudeaketa interfazeko kalteberatasunek urruneko, autentifikatu gabeko erasotzaile bati cross-site scripting (XSS) injezioak egitea ahalbidetu dezakete. Honek administratzaile erabiltzailearen nabigatzailean kode gaiztoaren exekuzioa ekar dezake, erasotzaileari baimenik gabeko konfigurazio aldaketak egiteko aukera emanez. Kalteberatasun hau esplotatzeko, erasotzaileak eragindako interfazan autentifikatu behar da.
- CWE-79
- CVSS: 5.5 (ertaina)
- CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N
- Esplotazioa: Ez da detektatu
Arintzea/Konponbidea
HPE Aruba Networking-ek Telco Service Orchestrator-en kalteberatasunak arintzeko, hurrengo bertsioetara eguneratzea gomendatzen du: 9.6.1 edo gehiago 9.6.x bertsiorako; 9.5.6 edo gehiago 9.5.x bertsiorako; 9.4.8 edo gehiago 9.4.x bertsiorako. Gainera, CLI eta web kudeaketa interfazak VLAN dedikatu batera mugatzea edo firewall politikekin kontrolatzea gomendatzen da, erabiltzaileen jarduerak erregistratzeko kontabilitate kontrolak batera. Praktika on gisa, Orchestrator-eko erabiltzaile lokalentzako IP bidezko onartuen zerrendak eta API giltzak konfiguratzeko gomendatzen da. Berehala eguneratu behar dira patchik gabeko sistemak esplotazio arriskua murrizteko.