// HEISE ONLINE — CYBERSECURITY
Sicherheitspatches: Attacken auf Switches mit ArubaOS-CX möglich
Die Entwickler von HPE Aruba Networking haben 34 Sicherheitslücken in ArubaOS-CX geschlossen.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Mehrere Schwachstellen im Switch-Betriebssystem ArubaOS-CX gefährden Switches der CX-Serie. In mehreren Fällen kann Schadcode Geräte kompromittieren. Sicherheitspatches sind verfügbar. Die Lücken stecken aber auch in einer Version, für die der Support ausgelaufen ist. Bislang gibt es seitens des Herstellers keine Hinweise auf bereits laufende Attacken.
In einer Warnmeldung listet HPE Aruba Networking die Schwachstellen auf. Am gefährlichsten gilt eine „kritische“ Schadcode-Lücke (CVE-2026-73749). Daran sollen Angreifer aus der Ferne und ohne Authentifizierung ansetzen können. Dafür müssen sie lediglich präparierte Pakete an verwundbare Geräte schicken. Dabei kommt es zu Fehlern in der Verarbeitung, und es gelangt Schadcode auf Geräte.
Es gibt noch weitere Schadcode-Schwachstellen (etwa CVE-2026-73750 „hoch“). Auch DoS-Attacken sind möglich (etwa CVE-2026-73772). Außerdem können Angreifer Zugriffskontrollen umgehen (CVE-2026-73762 „mittel“).
Die Entwickler geben an, die Sicherheitsprobleme in den folgenden Ausgaben gelöst zu haben:
Für den Versionszweig AOS-CX 10.10.x ist der Support ausgelaufen; hier steht mit 10.10.1181 nur noch eine eingeschränkte Fix-Version bereit. HPE Aruba Networking gibt dafür an, dass ausschließlich intern gefundene kritische Schwachstellen geschlossen werden. Um Geräte vollständig abzusichern, müssen Admins ein Upgrade auf eine noch unterstützte Version durchführen.
Können Admins die Patches nicht direkt installieren, sollten sie sicherstellen, dass die Management-Weboberfläche nur für von ihnen zugelassene IP-Adressen abrufbar ist.
Zuletzt waren CX-Switches im März dieses Jahres angreifbar.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security