HPEネットワーキングは、多数の脆弱性が公表されたことを受け、Fabric Composer向けのセキュリティ更新プログラムをリリースしました。この中には、認証されていないリモートの攻撃者が影響を受けるシステムの管理権限を奪取できる、最大深刻度の脆弱性2件が含まれています。
最も深刻な問題はCVE-2026-76658として追跡されており、製品のSSHデーモンに影響します。この脆弱性が悪用されると、権限を持つOSユーザーとして任意のコマンドを実行できる可能性があり、Fabric Composerホストが完全に侵害される恐れがあります。
セキュリティ勧告HPESBNW05133は、HPEネットワーキングFabric Composerバージョン7.3.3以前を対象としています。
HPEはCVE-2026-76658とCVE-2026-76657の両方に対し、CVSS v3.1スコア10.0を割り当てています。これは、ネットワーク経由で到達可能な攻撃経路、低い攻撃複雑性、認証不要、そして機密性・完全性・可用性への高い影響を反映したものです。
CVE-2026-76658は、Fabric ComposerのSSHデーモンに存在するため、特に緊急性の高い問題です。
HPEによると、認証されていないリモートの攻撃者はこの脆弱性を悪用することで、脆弱なAFCホストへの管理者アクセス権を取得し、基盤となるオペレーティングシステム上で権限を持つユーザーとして任意のコマンドを実行できる可能性があります。
この結果、Fabric Composerの導入環境全体が完全に侵害される可能性があります。勧告の詳細な説明では、明示的に「root」とは記載されず「権限を持つユーザー(privileged user)」という表現が使われていますが、この問題はホストが完全に侵害されかねない高リスクなシナリオに該当します。
管理者は、SSHサービスが信頼できないネットワークから到達可能な状態にある場合、脆弱な管理アプライアンスが完全に露出しているものとして扱うべきです。もう一つの重大な脆弱性であるCVE-2026-76657は、Fabric ComposerのAPIに存在します。
この脆弱性により、認証されていないリモートの攻撃者は既存の認証制御を回避し、管理者権限を取得できます。HPEは、この脆弱性の悪用に成功するとFabric Composerホストが完全に侵害される可能性があると警告しています。
この勧告では、API、Webベースの管理インターフェース、インストールプロセス、および基盤となるオペレーティングシステムにまたがる、その他数十件の脆弱性も特定されています。
これらには、格納型および反射型のクロスサイトスクリプティング、任意のファイル書き込み、SQLインジェクション、アクセス制御の不備、パストラバーサル、機密情報の漏えい、サービス拒否、権限昇格の脆弱性が含まれます。
HPEは、Fabric Composerを、7.4系列を使用している場合はバージョン7.4.0以降へ、7.3系列を継続利用する組織はバージョン7.3.4以降へアップグレードすることを推奨しています。
保守終了(end-of-maintenance)リリースを使用している環境は、明示的に除外されていない限り脆弱であるとみなされます。また、サポート終了(end-of-support)バージョンについては評価が行われていないため、影響を受ける可能性があるものとして扱う必要があります。
HPEは、すべての脆弱性は自社の社内セキュリティ研究者が発見したものであり、勧告の公開時点で、これらを標的とした公開の攻撃コードや公の場での議論は確認していないと述べています。
とはいえ、認証不要で管理者権限を取得できる問題とコード実行が可能な問題がこれだけ集中していることを踏まえると、Fabric Composerをネットワーク管理基盤の一部として運用している組織にとっては、迅速な対応が不可欠です。
セキュリティチームに、不審な活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを提供しましょう。ANY.RUNで調査能力を強化
翻訳元: https://cyberpress.org/critical-hpe-fabric-composer-flaw/
