HPE publie des correctifs d’urgence pour AOS-CX suite à cinq vulnérabilités critiques
Hewlett Packard Enterprise a publié le 10 mars 2026 un bulletin de sécurité d’urgence pour le système d’exploitation Aruba Networking AOS-CX, couvrant cinq vulnérabilités dont deux permettant une exécution de code à distance (RCE). Les failles affectent les commutateurs Aruba CX utilisés dans les infrastructures réseau d’entreprise à travers le monde et nécessitent une application immédiate des correctifs disponibles.
HPE n’a signalé aucune exploitation active de ces vulnérabilités dans la nature au moment de la divulgation, mais la combinaison de failles RCE, d’escalade de privilèges et de détournement de session sur des équipements réseau critiques représente un risque élevé pour les organisations qui n’appliquent pas rapidement les mises à jour.
Deux failles d’injection de commandes permettent une exécution de code à distance
Les vulnérabilités les plus graves sont CVE-2025-37157 et CVE-2025-37158, deux failles d’injection de commandes présentes dans le système d’exploitation AOS-CX. Selon le bulletin HPE Aruba Networking (HPESBNW04888), ces deux CVE permettent à un attaquant distant authentifié d’exécuter des commandes arbitraires sur le système sous-jacent, compromettant entièrement le commutateur touché. Les deux CVE ont été corrigées dans les dernières versions d’AOS-CX.
Bien que l’exploitation nécessite une authentification préalable, les environnements où plusieurs comptes administrateurs existent ou où les interfaces de gestion sont exposées à des réseaux insuffisamment segmentés présentent un risque réel. HPE recommande de restreindre l’accès aux interfaces CLI et web à un segment de couche 2 dédié ou de les contrôler via des politiques de pare-feu.
Escalade de privilèges via le shell restreint SSH (CVE-2025-37155)
CVE-2025-37155 est une vulnérabilité de contrôle d’accès dans l’interface shell restreint SSH des services de gestion réseau. Elle permet à un utilisateur authentifié en lecture seule d’accéder à des fonctions qui devraient être réservées aux administrateurs, ouvrant la voie à une escalade de privilèges sur l’équipement. Cette vulnérabilité a été découverte et signalée par des chercheurs de l’Agence Nationale de Cybbersécurité italienne (ACN), selon les notes de divulgation HPE.
Détournement de session web actif (CVE-2025-37159)
CVE-2025-37159 affecte l’interface de gestion web d’AOS-CX. La faille permet à un attaquant distant authentifié de détourner une session utilisateur active via le service d’authentification utilisateur de l’OS. En cas d’exploitation réussie, l’attaquant peut maintenir un accès non autorisé à la session, lire ou modifier des données de configuration sensibles et maintenir une présence persistante sur l’équipement sans alerter les administrateurs légitimes.
Contournement des ACL de port sur les switches CX 9300 (CVE-2025-25040)
CVE-2025-25040 est une vulnérabilité d’autorisation incorrecte spécifique à la gamme HPE Aruba Networking CX 9300, affectant les versions AOS-CX 10.14.xxxx (toutes) et 10.15.xxxx jusqu’à 10.15.1000. La faille permet à un attaquant de contourner les règles ACL appliquées aux ports routés en sortie, entraînant des flux de trafic non autorisés et des violations potentielles des politiques de sécurité réseau. Les ACL VLAN en sortie et les ACL VLAN routés ne sont pas affectées par cette vulnérabilité.
Produits et versions affectés
Les vulnérabilités affectent les commutateurs Aruba Networking exécutant le système d’exploitation AOS-CX sur plusieurs gammes de produits CX, notamment les séries CX 8xxx, CX 9300 et CX 10000. HPE a publié les versions correctives via ses canaux de distribution logicielle habituels. Les administrateurs réseau doivent vérifier la version AOS-CX installée sur chaque commutateur et appliquer la mise à jour correspondante détaillée dans le bulletin HPESBNW04888.
Mesures de protection immédiates recommandées par HPE
HPE Aruba Networking recommande les mesures suivantes en attendant ou en complément de l’application des correctifs :
- Restreindre les interfaces CLI et web de gestion à un segment de couche 2 dédié ou les contrôler via des politiques de pare-feu de couche 3.
- Activer la journalisation et les contrôles de comptabilité pour suivre et enregistrer les activités des utilisateurs et l’utilisation des ressources.
- Surveiller toute activité administrative anormale sur les commutateurs affectés.
- Vérifier que les comptes utilisateurs en lecture seule ne disposent pas d’accès étendus via SSH.
- Appliquer immédiatement les correctifs disponibles via le portail de support HPE.
HPE n’a pas connaissance d’exploitations actives de ces vulnérabilités au moment de la publication du bulletin. Cependant, étant donné le rôle critique des commutateurs Aruba CX dans les infrastructures réseau d’entreprise et de fournisseurs de services, tout retard dans l’application des correctifs expose les organisations à des risques sérieux de compromission réseau.
