HPE Menambal Celah Kritis ArubaOS-CX yang Bisa Picu Remote Code Execution

Hewlett Packard Enterprise (HPE) telah merilis pembaruan keamanan untuk menutup celah kritis pada sistem operasi jaringan ArubaOS-CX yang digunakan pada perangkat switch HPE Aruba Networking.

Kerentanan tersebut dapat memungkinkan penyerang jarak jauh yang tidak terautentikasi menjalankan kode dengan hak istimewa tinggi pada perangkat yang terdampak.

Celah keamanan ini dilacak sebagai CVE-2026-73749 dan disebabkan oleh buffer overflow pada sebuah daemon di ArubaOS-CX. Penyerang tidak perlu memiliki akun pada perangkat untuk mengeksploitasinya.

Dengan mengirimkan paket yang telah dirancang secara khusus ke layanan yang terdampak, penyerang berpotensi memicu pemrosesan input yang tidak semestinya hingga memperoleh kemampuan menjalankan kode pada sistem.

Celah dapat dieksploitasi tanpa autentikasi

Menurut buletin keamanan HPE, sejumlah kerentanan ditemukan pada daemon ArubaOS-CX yang dapat menyebabkan sistem memproses input yang telah dimanipulasi secara tidak semestinya.

Pada CVE-2026-73749, eksploitasi dapat dilakukan oleh remote attacker tanpa autentikasi dengan mengirimkan paket khusus ke service yang terdampak.

Jika berhasil, serangan dapat berujung pada remote code execution (RCE) dengan hak istimewa tinggi. Kondisi tersebut membuat kerentanan menjadi sangat serius, terutama karena ArubaOS-CX digunakan pada perangkat jaringan yang berperan penting dalam infrastruktur perusahaan.

ArubaOS-CX merupakan sistem operasi untuk switch enterprise HPE Aruba Networking yang digunakan oleh berbagai organisasi, termasuk perusahaan besar, instansi pemerintah, universitas, organisasi kesehatan, data center, hingga penyedia layanan.

HPE merilis versi yang telah diperbaiki

HPE telah menyediakan pembaruan untuk sejumlah cabang ArubaOS-CX yang terdampak. Pengguna disarankan melakukan upgrade ke versi berikut atau yang lebih baru:

HPE juga memberikan catatan khusus untuk AOS-CX 10.10.1181 yang telah mencapai status End of Maintenance (EOM). Versi tersebut hanya mendapatkan perbaikan untuk masalah kritis yang ditemukan secara internal, termasuk perbaikan untuk CVE-2026-73749.

Karena itu, organisasi yang masih menggunakan cabang software tersebut perlu mempertimbangkan strategi upgrade jangka panjang untuk menghindari ketergantungan pada versi yang sudah memasuki masa pemeliharaan terbatas.

Ada 23 kerentanan keamanan lainnya

Buletin HPE tidak hanya membahas CVE-2026-73749. Sebanyak 23 kerentanan keamanan lainnya juga tercakup dalam pembaruan tersebut, dengan beberapa di antaranya memiliki tingkat keparahan tinggi, mulai dari CVSS 8.1 hingga 8.8.

Beberapa kerentanan yang disorot HPE antara lain:

• CVE-2026-73750 — Penyerang remote yang telah terautentikasi dengan hak akses rendah dapat mengirimkan input yang rusak atau terpotong ke modul manajemen AOS-CX. Serangan dapat menyebabkan denial-of-service atau eksekusi kode dengan hak istimewa tinggi.
• CVE-2026-73751 — Pengguna terautentikasi dengan hak akses rendah dapat mengirimkan input khusus melalui antarmuka manajemen berbasis web untuk menjalankan arbitrary commands pada sistem operasi.
• CVE-2026-73752 — Penyerang tanpa autentikasi dengan akses ke jaringan sekitar dapat mengeksploitasi API endpoint AOS-CX untuk menulis file arbitrer ke sistem operasi, yang berpotensi berujung pada RCE.
• CVE-2026-73753 — Pengguna terautentikasi dengan hak akses rendah dapat menyalahgunakan operasi command-line AOS-CX untuk menjalankan arbitrary commands sebagai pengguna dengan hak istimewa.
• CVE-2026-73782 — Kerentanan format-string pada command-line interface dapat memungkinkan penyerang tanpa autentikasi dengan akses jaringan sekitar menjalankan kode sebagai pengguna privileged.
• CVE-2026-73781 — Kerentanan stored cross-site scripting (XSS) memungkinkan penyerang remote terautentikasi menjalankan script arbitrer di browser administrator ketika administrator berinteraksi dengan konten yang telah dimanipulasi.
• CVE-2026-73780 — Tidak adanya perlindungan CSRF pada sesi tertentu yang menggunakan autentikasi sertifikat dapat memungkinkan penyerang mengirimkan input arbitrer ke antarmuka manajemen dengan membujuk pengguna terautentikasi membuka URL berbahaya.
• CVE-2026-73779 — Penyerang tanpa autentikasi dengan akses ke jaringan sekitar dapat melewati kontrol autentikasi pada switch AOS-CX, sehingga berpotensi memperoleh informasi sensitif, melakukan perubahan tanpa izin, atau mengganggu layanan.
• CVE-2026-73778 — Password factory-default yang dapat diprediksi dapat dimanfaatkan penyerang remote tanpa autentikasi untuk memperoleh kendali administratif penuh pada perangkat yang masih berada dalam kondisi factory-default atau post-ZTP sebelum kredensial dikonfigurasi administrator.
• CVE-2026-73777 — Kerentanan pada API endpoint AOS-CX dapat dimanfaatkan penyerang tanpa autentikasi untuk melewati access control dan meningkatkan hak akses.

Kombinasi beberapa kelemahan tersebut membuat pembaruan ini penting bagi administrator yang mengelola perangkat ArubaOS-CX dalam lingkungan produksi.

Belum ada indikasi eksploitasi aktif

HPE mengatakan pihaknya belum mengetahui adanya eksploitasi aktif terhadap kerentanan-kerentanan tersebut ketika buletin keamanan diterbitkan.

HPE juga menyatakan belum mengetahui adanya public proof-of-concept (PoC) yang menargetkan celah-celah yang telah diperbaiki.

Meski demikian, HPE tetap sangat menganjurkan pelanggan untuk melakukan upgrade ke salah satu versi yang telah diperbaiki. Mengingat CVE-2026-73749 dapat dieksploitasi tanpa autentikasi dan berpotensi menghasilkan remote code execution dengan hak istimewa tinggi, administrator perangkat jaringan sebaiknya tidak menunda pemasangan patch.

Sumber: HPE