Hewlett Packard Enterprise（HPE)は、ネットワークオペレーティングシステムArubaOS-CXにおける深刻な脆弱性にパッチを適用しました。この脆弱性はリモートコード実行につながる可能性がありました。
CVE-2026-73749として追跡されるこのセキュリティ問題はバッファオーバーフローで、認証されていないリモートの攻撃者が特別に細工したパケットを対象のデーモンプロセスに送信することで、昇格した権限でのコード実行を達成できてしまいます。
「ArubaOS-CXのデーモンには複数の脆弱性が存在し、不正な入力の処理に不備が生じる可能性がある」とHPEのブレティンには記載されています。
「認証されていないリモートの攻撃者は、特別に細工したパケットを対象のサービスに送信することで、これらの脆弱性を悪用できる可能性がある」としています。
ブレティンに記載されている影響を受けるリリースブランチと修正版は以下の通りです。
- 10.18.0001 → 10.18.1002以降にアップグレード
- 10.17.1021以前 → 10.17.1030以降
- 10.16.1051以前 → 10.16.1060以降
- 10.13.1180以前 → 10.13.1190以降
- 10.10.1180以前 → 10.10.1181以降
HPEは、AOS-CX 10.10.1181バージョンはすでに保守終了（EOM）を迎えており、社内で発見された深刻な問題に対してのみ修正が提供される状態にあると指摘しています。この条件はCVE-2026-73749にも当てはまります。
ArubaOS-CXは、HPE Aruba Networkingがエンタープライズ向けネットワークスイッチ向けに提供しているオペレーティングシステムで、大企業や政府機関、大学、医療機関、データセンター、サービスプロバイダーなどで一般的に使用されています。
HPEのセキュリティブレティンでは、他にも23件の脆弱性が取り上げられており、そのうち一部は深刻度評価が8.1から8.8の「高」に分類されています。
- CVE-2026-73750: 低権限で認証済みのリモート攻撃者が、不正な形式または切り詰められた入力をAOS-CXの管理モジュールに送信することで、サービス拒否を引き起こしたり、昇格した権限でコードを実行したりできる可能性があります。
- CVE-2026-73751: 低権限で認証済みのユーザーが、AOS-CXのWebベース管理インターフェースを通じて細工した入力を送信することで、基盤となるオペレーティングシステム上で任意のコマンドを実行できます。
- CVE-2026-73752: 隣接ネットワークからアクセス可能な認証されていない攻撃者が、AOS-CXのAPIエンドポイントを悪用して基盤のオペレーティングシステムに任意のファイルを書き込むことができ、リモートコード実行につながる可能性があります。
- CVE-2026-73753: 低権限で認証済みのユーザーが、影響を受けるAOS-CXのコマンドライン操作を悪用することで、基盤となるオペレーティングシステム上で特権ユーザーとして任意のコマンドを実行できます。
- CVE-2026-73782: 隣接ネットワークからアクセス可能な認証されていない攻撃者が、AOS-CXのコマンドラインインターフェースにおけるフォーマット文字列の脆弱性を悪用することで、基盤となるオペレーティングシステム上で特権ユーザーとして任意のコードを実行できます。
- CVE-2026-73781: 認証済みのリモート攻撃者が、AOS-CXのWebベース管理インターフェースに存在する格納型クロスサイトスクリプティングの脆弱性を悪用することで、管理者が該当するコンテンツを操作した場合に、管理者のブラウザ上で任意のスクリプトを実行できます。
- CVE-2026-73780: 認証されていないリモートの攻撃者が、一部の証明書認証によるAOS-CXセッションにおけるCSRF対策の欠如を悪用することで、認証済みユーザーに細工したURLを開かせることでWebベース管理インターフェースに任意の入力を送信できます。
- CVE-2026-73779: 隣接ネットワークからアクセス可能な認証されていない攻撃者が、AOS-CXスイッチの認証制御を回避できる可能性があり、機密情報の露出、不正な変更の実行、サービスの妨害につながる恐れがあります。
- CVE-2026-73778: 認証されていないリモートの攻撃者が、予測可能な工場出荷時デフォルトパスワードを利用することで、管理者が認証情報を設定する前の工場出荷時状態またはZTP実行後の状態にあるAOS-CXデバイスに対して、完全な管理者権限を取得できます。
- CVE-2026-73777: 認証されていないリモートの攻撃者が、AOS-CXのAPIエンドポイントにおける脆弱性を悪用することで、アクセス制御を回避し権限を昇格できます。
ベンダーは、ブレティンに記載されている修正済みリリースのいずれかへアップグレードするよう顧客に「強く推奨する」としています。
HPEは、ブレティン公開時点で、記載された脆弱性を標的とした実際の悪用や、一般に公開された概念実証（PoC)エクスプロイトは確認されていないと述べています。
