HPE advierte sobre el riesgo de seguridad significativo debido a contraseñas fijas en hardware de Aruba.
HPE corrige dos vulnerabilidades en los puntos de acceso Aruba Instant On.
HPE ha lanzado soluciones para dos vulnerabilidades críticas en sus puntos de acceso Aruba Instant On, que podrían haber permitido a atacantes acceder a los dispositivos con privilegios de administrador. Esto implicaba la posibilidad de cambiar configuraciones, implementar malware y causar alteraciones significativas en su funcionamiento.
Los puntos de acceso Aruba Instant On son dispositivos Wi-Fi dirigidos a pequeñas empresas, destacados por su fácil instalación y por ofrecer conectividad inalámbrica rápida, segura y confiable. En un comunicado de seguridad, HPE reveló que había encontrado credenciales codificadas en el firmware de los dispositivos, lo que permite a cualquier persona que conozca estas credenciales eludir la autenticación normal del aparato.
El primer problema, catalogado como CVE-2025-37103, tiene una puntuación de severidad de 9.8 sobre 10, situándose en el nivel crítico. Se pronostica que es relativamente fácil de localizar y explotar, especialmente para un actor de amenazas con habilidades. Este tipo de credenciales codificadas es un fallo frecuente en el software moderno, ya que a menudo se añaden durante la fase de producción para facilitar el acceso; sin embargo, deberían eliminarse antes de que el producto llegue al mercado. Cuando los equipos de DevSecOps o de seguridad de aplicaciones no cumplen con este protocolo, surgen vulnerabilidades como esta.
Lamentablemente, en este caso no existen soluciones alternativas, por lo que aplicar los parches es la única opción para proteger los puntos de acceso y, en consecuencia, la red en general de posibles ataques.
Además de esta vulnerabilidad, HPE también ha corregido un segundo error que se refiere a una inyección de comandos autenticada en la interfaz de línea de comandos de Instant On, registrado como CVE-2025-37102. Esto permite a los atacantes remotos, con privilegios elevados, ejecutar comandos arbitrarios en el sistema operativo subyacente como usuarios altamente privilegiados. Se le ha asignado una puntuación de severidad de 7.2 sobre 10. Al igual que en el primer caso, no hay medidas alternativas, y HPE recomienda a los usuarios aplicar el parche a la brevedad posible.
