Skip to content
Hacker Posts

HPE Aruba : 74 failles sur AOS et ClearPass, 8 critiques (AVI-1369)

Le CERT-FR publie l'avis 1369 (23 octobre) : 74 CVE dans HPE Aruba AOS et ClearPass Policy Manager, dont 8 critiques permettant RCE non authentifiée et contournement d'authentification.

Publié le 3 min de lecture
cvehpe-arubaalertecert-frrce

Le CERT-FR a publié le 23 octobre l'avis CERTFR-2026-AVI-1369 : 74 vulnérabilités dans les produits HPE Aruba Networking, réparties entre le système AOS — qui équipe les contrôleurs et passerelles WLAN — et ClearPass Policy Manager. Huit sont critiques : exécution de code à distance non authentifiée et contournement d'authentification, exploitables à distance sans privilège ni interaction utilisateur.

Produits et versions affectés

Pour AOS, les branches concernées et le premier correctif de chaque branche, selon le CERT-FR :

  • 10.4.x antérieures à 10.4.1.14
  • 10.7.x antérieures à 10.7.2.7
  • 10.8.x antérieures à 10.8.1.2
  • 8.10.x antérieures à 8.10.0.24
  • 8.13.x antérieures à 8.13.3.1

ClearPass Policy Manager est affecté en 6.11.x avant 6.11.16 et en 6.14.x avant 6.14.1.

Les huit failles critiques

D'après le bulletin HPE relayé par Bleeping Computer, les huit CVE de sévérité maximale sont :

  • CVE-2026-79844 — contournement d'authentification menant à une RCE (AOS-10).
  • CVE-2026-79845 — contournement d'authentification dans le protocole PAPI (AOS-10).
  • CVE-2026-79846 — injection de commande non authentifiée (AOS-8).
  • CVE-2026-79847 — débordement de tampon non authentifié menant à une RCE (AOS-10).
  • CVE-2026-79848 — injection SQL non authentifiée menant à une RCE (AOS-8).
  • CVE-2026-79849 — injection SQL non authentifiée menant à une RCE (AOS-8).
  • CVE-2026-79850 — contournement d'authentification menant à une RCE (AOS-8).
  • CVE-2026-79851 — débordement de tampon non authentifié menant à une RCE (AOS-10).

Le CERT-FR dénombre 74 CVE au total (AOS plus ClearPass) ; HPE en compte 72 côté AOS. La liste complète figure dans les bulletins HPE hpesbnw05162 et hpesbnw05171, référencés par l'avis.

Statut d'exploitation

HPE indique n'avoir trouvé aucun code d'exploitation public ni aucune preuve d'exploitation active à la date de publication de son bulletin.

Que faire

  1. Inventorier les contrôleurs et passerelles AOS-8 et AOS-10, ainsi que la version de ClearPass Policy Manager.
  2. Appliquer les correctifs : AOS 10.4.1.14 / 10.7.2.7 / 10.8.1.2 / 8.10.0.24 / 8.13.3.1 ; ClearPass 6.11.16 / 6.14.1. Confirmer la build exacte dans les bulletins HPE avant de planifier la montée de version.
  3. En attendant, restreindre l'accès aux interfaces d'administration et au protocole PAPI aux segments de confiance. Les failles non authentifiées exigent un accès réseau à l'équipement : le plan de gestion est à cloisonner en priorité.
  4. Surveiller les accès anormaux aux services d'administration de ces équipements pendant la fenêtre de patch.

Contexte

C'est un nouvel avis HPE Aruba après ceux de l'été et de la rentrée — mais il vise cette fois le cœur réseau (AOS, ClearPass), pas la gamme Instant On couverte en septembre avec la RCE non authentifiée CVE-2026-76721. Les équipements de bordure des grands constructeurs restent une cible de recherche : un seul appareil joignable expose tout le réseau. Huit failles 10.0 dans une même livraison, c'est un gros correctif — à prioriser sur tout équipement AOS qui termine du trafic non maîtrisé.

Articles liés