HPE vá hàng loạt lỗ hổng nghiêm trọng trong thiết bị mạng Aruba

HPE vừa phát hành bản vá cho 72 lỗ hổng bảo mật trong hệ điều hành không dây AOS-8 và AOS-10 của dòng sản phẩm mạng Aruba. Đáng chú ý, có tới 33 lỗ hổng ở mức nghiêm trọng, trong đó tám lỗ hổng đạt mức rủi ro cao nhất.

Sự cố này ảnh hưởng trực tiếp đến hạ tầng mạng doanh nghiệp — nhóm hệ thống mà các tổ chức tại Việt Nam, từ ngân hàng, bệnh viện đến cơ quan nhà nước, đang sử dụng khá phổ biến.

Thiết bị mạng Aruba của HPE

Tám lỗ hổng mức nguy hiểm nhất

Các bản cập nhật xử lý tám lỗ hổng có mức độ nghiêm trọng tối đa, gồm CVE-2026-79844, CVE-2026-79845, CVE-2026-79846, CVE-2026-79847, CVE-2026-79848, CVE-2026-79849, CVE-2026-79850 và CVE-2026-79851.

Theo HPE, nếu bị khai thác thành công, những lỗ hổng này cho phép kẻ tấn công không cần xác thực vẫn có thể:

• Thực thi mã từ xa (RCE)
• Vượt qua cơ chế xác thực để chiếm quyền quản trị
• Chạy các lệnh tùy ý trên hệ thống
• Chiếm toàn quyền kiểm soát thiết bị bị ảnh hưởng

Mức độ nguy hiểm nằm ở chỗ kẻ tấn công không cần bất kỳ thông tin đăng nhập nào. Chỉ cần thiết bị lộ diện trên mạng là đủ để tấn công.

Phiên bản đã được vá

Các phiên bản AOS 8.10.0.24, 8.13.3.1, 10.4.1.14, 10.7.2.7 và 10.8.1.2 đã chứa bản vá cho toàn bộ tám lỗ hổng nói trên. Các bản cập nhật này được triển khai cho nhiều nhóm sản phẩm: mobility conductor, controller, gateway và access point.

Ngoài tám lỗ hổng mức tối đa, 33 lỗ hổng nghiêm trọng còn lại cũng có thể dẫn đến RCE không cần xác thực, thực thi lệnh, rò rỉ thông tin, vượt qua xác thực, chỉnh sửa trái phép tệp, chiếm quyền quản trị và kiểm soát toàn bộ hệ thống.

HPE cũng đã khắc phục 31 lỗ hổng mức cao trên các sản phẩm mạng của mình, trong đó hơn một chục lỗ hổng có thể bị khai thác mà không cần xác thực. Ngoài ra còn có tám lỗ hổng mức trung bình và một điểm yếu mức thấp.

Phạm vi ảnh hưởng rộng

HPE lưu ý rằng mọi "thiết bị phần cứng, giải pháp mobility (như conductor, controller và gateway), access point hoặc máy ảo (VM)" tương thích với các hệ điều hành không dây bị ảnh hưởng đều nằm trong diện rủi ro.

Điều này có nghĩa là không chỉ các thiết bị vật lý, mà cả những triển khai ảo hóa trên hạ tầng cloud hoặc trung tâm dữ liệu cũng cần được rà soát và cập nhật.

Khuyến nghị từ HPE

Để giảm khả năng bị khai thác, HPE khuyến nghị các tổ chức:

• Giới hạn giao diện quản trị CLI và giao diện web trong một phân đoạn/VLAN lớp 2 riêng biệt
• Kiểm soát truy cập bằng chính sách tường lửa ở lớp 3 trở lên
• Bật cơ chế ghi nhận và giám sát để theo dõi hoạt động người dùng và mức sử dụng tài nguyên

Minh họa về bảo mật hệ thống mạng

HPE cho biết hiện chưa ghi nhận trường hợp nào các lỗ hổng này bị khai thác trong thực tế. Tuy vậy, hãng vẫn kêu gọi khách hàng áp dụng bản vá càng sớm càng tốt.

Với các doanh nghiệp Việt Nam đang vận hành hệ thống Wi-Fi doanh nghiệp quy mô lớn, việc rà soát phiên bản AOS và cập nhật ngay là bước cần thiết. Những thiết bị mạng lõi thường là mục tiêu ưu tiên của tin tặc, bởi khi bị chiếm, kẻ tấn công có thể theo dõi toàn bộ lưu lượng và tấn công sâu vào mạng nội bộ.

Việc một loạt lỗ hổng nghiêm trọng xuất hiện cùng lúc trong thiết bị mạng cũng là lời nhắc về tầm quan trọng của quy trình quản lý bản vá định kỳ và phân đoạn mạng chặt chẽ — hai yếu tố thường bị xem nhẹ trong nhiều hệ thống hạ tầng công nghệ thông tin.