HPE AOS-Switch: Authentication Bypass in der Web-Verwaltungsoberfläche

Zusammenfassung

Die Betriebssoftware AOS-Switch (AOS-S) von Hewlett Packard Enterprise, die auf mehreren Switch-Serien der Marke Aruba läuft, enthält einen Authentication Bypass in der Web-Verwaltungsoberfläche. Ein nicht authentifizierter Angreifer aus der Ferne, der diese Oberfläche erreichen kann, kann sich unberechtigten Zugriff auf den Switch verschaffen, laut Sekundärquellen möglicherweise sogar volle administrative Kontrolle. Es sind weder Benutzerinteraktion noch Zugangsdaten nötig, weshalb das Risiko dort am höchsten ist, wo die Web-Oberfläche aus Benutzernetzen oder dem Internet erreichbar ist.

Betroffen

• AOS-Switch 16.11.0000 bis 16.11.0031 (CNA-Eintrag; die HPE-Warnmeldung nennt 16.11.0031 und tiefer)
• Betroffene Modelle umfassen die Serien Aruba 2530, 2540, 2615, 2620, 2915, 2920, 2930F und 2930M (Liste in der Quelle abgeschnitten)
• Releases, die das End of Maintenance erreicht haben, gelten als betroffen und sind von der Warnmeldung nicht abgedeckt

Behoben in

• Upgrade auf AOS-Switch 16.11.0032 oder neuer (HPE-Warnmeldung HPESBNW05156)
• Verfügbarkeit des Fixes für jedes Modell der Liste ist nicht bestätigt

Umgehung

• Kein AOS-S-spezifischer Workaround im abgerufenen Text der HPE-Warnmeldung bestätigt
• Übergangsmassnahme bis zum Upgrade: Web- und Management-Zugriff auf Admin-Hosts in einem dedizierten Management-VLAN beschränken und aus dem Internet blockieren

Ausnutzung

• Nicht bekanntermassen in freier Wildbahn ausgenutzt (CISA SSVC: Exploitation none; laut Sekundärquellen nicht im KEV-Katalog)
• CISA SSVC: automatisierbar ja, technische Auswirkung total
• Kein öffentlicher Proof of Concept gefunden; dies wurde nicht vollständig verifiziert

Unsere Empfehlung

• Alle AOS-S-Switches und deren Firmware-Versionen inventarisieren
• Betroffene Switches auf AOS-Switch 16.11.0032 oder neuer aktualisieren
• Switches mit einem End-of-Maintenance-Release ersetzen, da für diese im Rahmen der Warnmeldung kein Patch verfügbar ist
• Bis zum Patch den Web- und Management-Zugriff auf Admin-Hosts in einem isolierten Management-VLAN beschränken und aus dem Internet blockieren
• Switch-Logs auf unerwartete Anmeldungen oder Konfigurationsänderungen überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE Security Bulletin HPESBNW05156 support.hpe.com
• CCB Belgium advisory on HPE AOS-S vulnerabilities ccb.belgium.be
• OpenCVE: CVE-2026-76742 app.opencve.io
• Strix: CVE-2026-76742 www.strix.ai
• Securityonline: HPE AOS-Switch vulnerabilities securityonline.info

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:01.