HPE предупреждает о критической уязвимости в Aruba Instant On: пароли вшиты в устройство
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Компания Hewlett Packard Enterprise (HPE) обнаружила и устранила критическую уязвимость в своих точках доступа Wi-Fi Aruba Instant On, которые массово используются в малом бизнесе для обеспечения беспроводного интернета. Проблема заключалась во вшитом в программное обеспечение устройстве пароле администратора — то есть, любой, кто узнал этот пароль, мог получить полный контроль над устройством, изменять настройки, устанавливать вредоносные программы и, по сути, делать всё, что захочет.
Как отмечают в HPE, уязвимость связана с так называемыми "жёстко прописанными учетными данными" — простыми словами, с паролем, который намеренно добавили в ПО устройства, чтобы программистам было проще работать на этапе разработки. Такие "удобные" двери должны удаляться до выхода продукта на рынок, но, если об этом забывают, пользователи становятся потенциальной жертвой хакеров.
Уязвимость получила номер CVE-2025-37103 и почти самый высокий уровень угрозы — 9,8 из 10. Найти и воспользоваться ею несложно, особенно если нападающий в теме. Одним словом, если ваш бухгалтер засиделся с отчётностью через Wi-Fi — его трафик и данные могли быть доступны не только ему, но и злоумышленнику.
Единственный способ защититься — установить патч, выпущенный HPE. Никаких обходных решений нет, и откладывание обновления делает вашу сеть практически беззащитной.
В том же предупреждении HPE подтвердила наличие ещё одной уязвимости в Aruba Instant On, связанной с интерфейсом командной строки. Она позволяет пользователям с расширенными правами запускать любые команды на системе. Этот баг получил номер CVE-2025-37102 и оценку опасности 7,2 балла — выше среднего. Защититься тут также можно только обновлением.
PEREC.RU
В очередной раз сетевой гигант ловит себя на горячем: HPE обнаружила, что в Wi-Fi устройствах Aruba Instant On «случайно» забыли удалить универсальный пароль администратора. Если бы Ницше писал о кибербезопасности, он бы наверняка добавил: «Жёстко прописанные пароли делают из вашей сети вольный дом для хакеров». Это не просто промах. Это упущение в удачном соревновании между DevSecOps и чёрной стороной кода. Уязвимость критическая, проще простого эксплуатировать, рейтинг почти максимум.
Самое любопытное — второго бага тоже не обошлось: авторизованный пользователь может исполнить что угодно в операционной системе Aruba через консоль. Всё свежее, всё от души. Но HPE исправляет — патчи выпущены. Других решений нет. Если вы владеете такой точкой доступа и решили, что обнова подождёт, — удачи, проверяйте свою бухгалтерию пожёстче: жучки появятся быстрее, чем налоговая. Советы тоже классические: ставьте обновления, если не хотите личной встречи с хакерским ремеслом. Какое-то мерзкое ощущение — крупная корпорация снова оставляет дверь открытой, но теперь хотя бы кричит об этом.
Зато понятно, как на самом деле делаются слабые места в безопасности — не злым умыслом, а банальной невнимательностью. Хотя для владельцев такого оборудования это вряд ли утешение.
