34 Lücken in ArubaOS-CX: Warum ihr eure Switches jetzt anschauen solltet

Hallo, hier ist wieder Kora. Heute geht es um ein Update, das man nicht auf die lange Bank schieben sollte: HPE Aruba Networking hat gleich 34 Sicherheitslücken in ArubaOS-CX beseitigt, dem Betriebssystem der CX-Switch-Serie.

Was genau steckt drin?

Die unangenehmste Schwachstelle ist als kritisch eingestuft (CVE-2026-73749). Angreifer brauchen dafür weder Zugangsdaten noch lokalen Zugriff: Es reicht, praeparierte Pakete an ein verwundbares Geraet zu schicken. Die fehlerhafte Verarbeitung fuehrt dazu, dass Schadcode auf dem Switch landet. Damit ist man dann nicht mehr nur "auf" einem Netzwerkgeraet, sondern mitten im Datenpfad.

Daneben gibt es weitere Schadcode-Luecken, etwa CVE-2026-73750 mit dem Risiko "hoch", Moeglichkeiten fuer Denial-of-Service-Angriffe (unter anderem CVE-2026-73772) sowie eine Luecke, mit der sich Zugriffskontrollen umgehen lassen (CVE-2026-73762, "mittel"). Hinweise auf laufende Angriffe gibt es laut Hersteller bislang nicht – was aber erfahrungsgemaess vor allem heisst: Der Zeitpuffer ist begrenzt.

Der Sonderfall 10.10.x

Besonders aufmerksam solltet ihr werden, wenn ihr noch den Versionszweig AOS-CX 10.10.x fahrt. Dessen Support ist ausgelaufen. Es gibt zwar mit 10.10.1181 eine eingeschraenkte Fix-Version, die aber ausschliesslich intern gefundene kritische Probleme adressiert. Vollstaendig abgesichert seid ihr dort also nicht – hier fuehrt kein Weg an einem Upgrade auf einen noch gepflegten Zweig vorbei.

Wenn ihr nicht sofort patchen koennt

Nicht jeder Core-Switch laesst sich spontan neu starten, das kennen wir aus dem eigenen Betrieb nur zu gut. Der Hersteller empfiehlt als Zwischenschritt, den Zugriff auf die Management-Weboberflaeche strikt auf freigegebene IP-Adressen einzuschraenken. Das ist ein guter Rat – und ehrlich gesagt eine Massnahme, die dauerhaft gelten sollte, nicht nur im Notfall.

Aus unserer Praxis im Rechenzentrum wuerde ich ergaenzen:

• Management-Interfaces gehoeren in ein separates, nicht aus dem Produktivnetz erreichbares Management-VLAN oder Out-of-Band-Netz.
• Zugriff nur ueber Jump-Hosts oder VPN, niemals direkt aus dem Internet.
• Ein aktuelles Inventar aller Netzwerkgeraete inklusive Firmwarestand – sonst sucht ihr bei jedem Advisory neu.
• Wartungsfenster fuer Netzwerkkomponenten fest einplanen, statt sie nur bei Vorfaellen zu oeffnen.

Warum mich Netzwerk-Lücken besonders nerven

Server und Anwendungen patchen die meisten Teams inzwischen recht diszipliniert. Switches, Router und Firewalls laufen dagegen oft jahrelang unangetastet durch – sie funktionieren ja. Genau das macht sie attraktiv fuer Angreifer: Ein kompromittierter Switch sieht Traffic, kann ihn umleiten und faellt in klassischen Endpoint-Loesungen schlicht nicht auf. Erst im Maerz dieses Jahres waren CX-Switches schon einmal angreifbar – das zeigt, dass Netzwerkinfrastruktur genauso in den regulaeren Patch-Zyklus gehoert wie jedes Betriebssystem.

Mein Fazit: Advisory lesen, betroffene Versionsstaende abgleichen, Wartungsfenster setzen. Und wenn ihr noch auf 10.10.x seid, plant das Upgrade lieber diese Woche als naechstes Quartal.

Bis demnaechst, eure Kora

Quelle: heise online