Múltiples vulnerabilidades en Instant On APs de HPE Networking
INCIBE-CERT avisos · 30 sept, 09:15
HPE Networking ha publicado 18 vulnerabilidades en sus Instant On APs (versiones 3.4.1.0 y anteriores), incluyendo 5 críticas que permiten ejecución remota de código, escalada de privilegios y omisión de autenticación. Se recomienda actualizar a versión 3.4.2.0 o posterior; las correcciones se descargarán automáticamente desde el portal de gestión en la nube.
Las vulnerabilidades incluyen desbordamientos de búfer (CVE-2026-76721, CVE-2026-76723), cadenas de formato no controladas (CVE-2026-76722), inyección de comandos en la interfaz PAPI (CVE-2026-76724) y omisión de autenticación en protocolos de administración (CVE-2026-76725). Los atacantes remotos no autenticados con acceso a la red adyacente podrían ejecutar comandos con privilegios elevados, provocar denegación de servicio o ejecutar código arbitrario en el sistema operativo subyacente.
Como mitigación temporal, HPE recomienda restringir las interfaces web de administración a una VLAN dedicada, aplicar políticas de cortafuegos en capas 3 y superiores, e implementar mecanismos de registro y monitorización. Los sistemas fuera de mantenimiento deben migrarse a versiones compatibles.
Puntos clave
- Actualizar Instant On APs a versión 3.4.2.0 o posterior
- 5 vulnerabilidades críticas permiten ejecución remota de código y escalada de privilegios
- Parches se descargan automáticamente desde el portal Instant On en la nube
- Restringir interfaces de administración web a VLAN dedicada como medida temporal
- Afecta a versiones 3.4.1.0 y anteriores del firmware