Skip to content
Hacker Posts

HPE Aruba : 55 CVE corrigées dans Fabric Composer et VIA, dont des RCE

Le CERT-FR (AVI-1451) relaie 55 vulnérabilités dans HPE Aruba Fabric Composer et Virtual Intranet Access (VIA) : exécution de code à distance, élévation de privilèges, déni de service.

Publié le 3 min de lecture
alertehpearuba

HPE Aruba Networking a corrigé 55 vulnérabilités dans Fabric Composer et le client Virtual Intranet Access (VIA). Le CERT-FR a publié l'avis CERTFR-2026-AVI-1451 le 04 novembre, qui renvoie aux deux bulletins de l'éditeur, HPESBNW05172 et HPESBNW05173, tous deux datés du 03 novembre.

Selon le CERT-FR, certaines de ces failles permettent « une exécution de code arbitraire à distance, une élévation de privilèges et un déni de service à distance ». La section Risques ajoute l'atteinte à l'intégrité et à la confidentialité des données, le contournement de la politique de sécurité et l'injection SQL.

Produits et versions affectés

  • Fabric Composer 7.4.x antérieures à 7.4.1
  • Fabric Composer antérieures à 7.3.5
  • Virtual Intranet Access (VIA) antérieures à VIA 4.7.9

Les versions 7.4.1, 7.3.5 et VIA 4.7.9 sont les premières non affectées ; se référer aux bulletins HPE pour les correctifs exacts par produit.

Les CVE

L'avis liste 55 identifiants : de CVE-2026-95722 à CVE-2026-95753, puis de CVE-2026-95755 à CVE-2026-95777 (CVE-2026-95754 ne figure pas dans la liste). Le CERT-FR ne détaille ni les scores CVSS ni la correspondance entre chaque CVE et son produit ou son impact — ces éléments sont dans les bulletins HPESBNW05172 et HPESBNW05173. Exemple de fiche : CVE-2026-95722.

Exploitation

Aucune exploitation en conditions réelles n'est signalée à ce stade, ni par le CERT-FR ni par HPE. Fabric Composer administre des fabriques réseau et VIA est un client d'accès distant : une RCE ou une élévation de privilèges sur l'un ou l'autre touche directement le plan d'administration et l'accès au système d'information.

Que faire

  1. Recenser les instances Fabric Composer et les déploiements du client VIA, et relever leurs versions.
  2. Mettre à jour Fabric Composer en 7.4.1 (branche 7.4) ou 7.3.5, et VIA en 4.7.9.
  3. En attendant la montée de version, restreindre l'accès à l'interface d'administration de Fabric Composer à un réseau d'administration dédié.
  4. Consulter les deux bulletins HPE pour identifier les CVE critiques applicables à votre configuration et prioriser en conséquence.

Contexte

L'avis s'inscrit dans la vague d'alertes du CERT-FR du 04 novembre, qui a aussi visé Citrix, Ruby on Rails et plusieurs produits réseau. Les équipements d'administration et d'accès distant restent une cible privilégiée, comme pour les boîtiers couverts récemment dans QNAP QNE / QSA (CERT-FR AVI-1437). Un lot de 55 CVE n'est pas exploitable d'un bloc, mais il suffit qu'une seule RCE pré-authentifiée s'y cache pour justifier une montée de version rapide : le tri se fait sur les bulletins de l'éditeur, pas sur le résumé.

Articles liés