Hewlett Packard Enterprise(HPE)は、EdgeConnect SD-WANゲートウェイおよびSD-WAN Orchestratorに対するセキュリティアップデートを公開しました。両製品では合計40件の脆弱性が確認されており、その中には攻撃者に管理者権限の奪取や任意コード実行を許してしまう重大な欠陥も複数含まれています。
PESBNW05135 rev.1として追跡されているこのアドバイザリは、9.4系、9.5系、9.6系、9.7系にまたがる複数のECOSおよびOrchestratorリリースに影響します。
最も深刻な問題はEdgeConnect SD-WAN Orchestrator管理プラットフォームに存在し、リモート攻撃者が認証・認可の弱点を突いてアプライアンスを侵害できる恐れがあります。
最も深刻な認可バイパスの脆弱性はCVE-2026-76669とCVE-2026-76670の2件で、いずれもCVSSスコア9.9を記録しています。HPEによると、低権限の認証済みユーザーが脆弱なOrchestrator APIの機能を悪用することで、権限を管理者レベルまで引き上げられる可能性があるとのことです。
同じく9.9と評価されたCVE-2026-76672は、認証済みの読み取り専用ユーザーがキャッシュ同期用エンドポイントに細工したリクエストを送信することで、機密性の高い設定情報にアクセスできてしまう可能性がある脆弱性です。
流出しうる情報にはサードパーティ製APIトークンや認証情報が含まれる可能性があり、連携するセキュリティプラットフォームへの侵入経路として横展開に悪用される恐れがあります。
さらに2件の認証バイパスの脆弱性、CVE-2026-76673とCVE-2026-76684は、未認証のリモート攻撃者がOrchestratorの認証制御を回避し、管理者権限を取得できてしまう可能性があります。
CVE-2026-76673は9.8という重大なスコアを記録しており、悪用に認証もユーザー操作も必要としません。HPEはこれに加え、EdgeConnect SD-WANゲートウェイに影響するバッファオーバーフローおよびコマンドインジェクションの脆弱性も複数修正しています。
中でもCVE-2026-76674はCVSSスコア9.8と特に深刻で、未認証のリモート攻撃者が基盤となるオペレーティングシステムのバッファオーバーフロー状態を悪用し、任意のコマンドを実行できてしまう可能性があります。
その他の脆弱性も、脆弱なゲートウェイAPIエンドポイントやプロキシのパケット処理、設定管理、コマンドラインおよびWeb管理インターフェースを通じてリモートコード実行を招く恐れがあります。
これらの一部は悪用に有効な認証情報や特定の前提条件を必要とするものの、root権限や他の特権を持つOSユーザーとしてのコード実行を許してしまう可能性があります。
このアドバイザリには他にも、サービス拒否(DoS)や情報漏えい、SSRF、格納型XSS、権限昇格の脆弱性が含まれています。DoSに関する複数の不具合は対象アプライアンスをクラッシュさせる可能性があり、中には復旧に手動対応が必要となるケースもあります。
影響を受けるゲートウェイのバージョンは、ECOS 9.7.0.0以前、9.6.3.1以前、9.5.8.1以前、9.4.8.2以前です。影響を受けるOrchestratorのバージョンは、9.7.0以前、9.6.3以前、9.5.8以前、9.4.10以前となっています。
HPEが推奨するアップグレード先は、ゲートウェイについては該当するバージョンに応じてECOS 9.7.1.0、9.6.4.0、9.5.9.0、9.4.9.0のいずれかです。Orchestrator環境については、バージョン9.7.1、9.6.4、9.5.9、9.4.11以降への移行が推奨されています。
組織は、インターネットに公開されたOrchestratorおよびゲートウェイの管理サービスについて、緊急のパッチ適用優先事項として扱うべきです。
アップグレードが完了するまでの間、HPEはCLIおよびWebベースの管理インターフェースを専用のレイヤー2セグメントまたはVLANに制限すること、レイヤー3以上のファイアウォール制限を適用すること、そしてユーザー活動に関するアカウンティングおよびログ記録の管理を維持することを推奨しています。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。貴社チーム向けに詳しく見る
翻訳元: https://cyberpress.org/critical-hpe-edgeconnect-sd-wan-flaws/
