惠普企業（HPE）已修復了 Aruba Networking AOS-CX 作業系統中的多個安全漏洞，包括多個身份驗證和程式碼執行問題。AOS-CX 是由 HPE 子公司 Aruba Networks 為該公司 CX 系列園區和資料中心交換器設備開發的雲端原生網路作業系統 (NOS)。

目前最嚴重的安全漏洞是一個關鍵的身份驗證繞過漏洞（追蹤編號為CVE-2026-23813），沒有權限的攻擊者可以利用該漏洞進行低複雜度的攻擊來重置管理員密碼。

HPE表示：「AOS-CX交換器的Web管理介面中發現了一個漏洞，該漏洞可能允許未經身份驗證的遠端攻擊者繞過現有的身份驗證控制。在某些情況下，這甚至可以重置管理員密碼。」截至本安全公告發布之日，HPE Aruba Networking 尚未發現任何針對這些特定漏洞的公開討論或利用程式碼。

如果 IT 管理員無法立即套用今天的安全性更新來修補存在漏洞的交換機，可以採取以下緩解措施之一：

✔  將所有管理介面的存取權限限制在專用的二層網段或 VLAN 內，以隔離管理流量。

✔  在 3 層及以上實施嚴格的策略來控制對管理介面的訪問，只允許授權和受信任的主機存取。

✔  在不需要管理存取的情況下，停用交換虛擬介面 (SVI) 和路由連接埠上的 HTTP(S) 介面。

✔  強制執行控制平面存取控制清單 (ACL) 以保護任何啟用 REST/HTTP 的管理接口，確保只有受信任的客戶端才能連接到 HTTPS/REST 端點。

✔  實現對所有管理介面活動的全面統計、日誌記錄和監控，以便偵測和應對未經授權的存取嘗試。

HPE 尚未發現公開可用的概念驗證漏洞利用程式碼，也沒有證據顯示攻擊者正在實際利用這些漏洞。一個月前，HPE修復了其 StoreOnce 基於磁碟的備份和重複資料刪除解決方案中的八個漏洞，其中包括另一個嚴重程度的身份驗證繞過漏洞和三個遠端程式碼執行漏洞。

最近，在 1 月份，美國網路安全和基礎設施安全局 (CISA)指出 HPE OneView 的一個最高等級漏洞已被攻擊者利用。

資料來源：https://www.bleepingcomputer.com/news/security/hpe-warns-of-critical-aos-cx-flaw-allowing-admin-password-resets/