Hewlett Packard Enterprise опубликовала три бюллетеня по безопасности с 6 по 15 октября 2026 года. Речь идёт о серверах NonStop, контроллерах удалённого управления iLO и коммутаторах AOS-Switch. Тяжелее всего ситуация у коммутаторов: девять уязвимостей, шесть из которых вендор относит к критическому уровню опасности. Три ошибки дают возможность обойти аутентификацию или выполнить произвольный код удалённо и без учётных данных. В контроллерах iLO обход входа в систему сочетается с отказами в обслуживании, а в серверах NonStop десятки ошибок ведут к повреждению памяти, переполнению буфера и стека.
Уязвимости HPE в серверах, iLO и коммутаторах
Общее у всех трёх историй одно: исправления уже вышли, а следов эксплуатации в реальных атаках вендор не фиксирует. Класс задач тоже схож. Слабые места в веб-панелях и служебных интерфейсах дают злоумышленнику первый доступ внутрь инфраструктуры, а дальше он распоряжается оборудованием по своему усмотрению. Часть обновлений при этом требует ручной установки, а кое-где и перезагрузки узла.
Шесть критических уязвимостей в коммутаторах AOS-Switch
Коммутаторы HPE Networking AOS-Switch на версии AOS-S 16.11.0031 и ниже содержат девять уязвимостей. Шесть из них помечены как критические, и почти каждая позволяет действовать удалённо без пароля.
Два обхода аутентификации затрагивают веб-интерфейс и интерфейс управления. Оба оцениваются в 9.8 балла по CVSS. У одной из ошибок есть оговорка: для срабатывания нужны условия, которыми атакующий не управляет.
Дальше начинаются переполнения буфера. Первое из них, тоже с оценкой 9.8, даёт неаутентифицированному злоумышленнику выполнить произвольный код. Ещё одна группа ошибок связана с повреждением памяти и достижима из смежного сегмента сети, то есть изнутри локальной инфраструктуры. Есть и последствия поскромнее: раскрытие содержимого памяти, утечка служебных данных, отказ в обслуживании для уже вошедшего пользователя. Отдельно упомянуто повышение привилегий через API (программный интерфейс): пользователь с правами только на чтение получает административный доступ, оценка 8.8.
Затронуты модели от 2530 до 5400R zl2. Важнее другое: уязвима любая аппаратная платформа, на которой работает проблемная версия прошивки. Исправление - AOS-S 16.11.0032 и выше. До обновления вендор советует вынести интерфейсы командной строки и веб-управления в отдельный сегмент сети или VLAN, закрыть их правилами межсетевого экрана на третьем уровне и выше, а также включить учёт и журналирование действий пользователей. Публичных эксплойтов на момент публикации бюллетеня нет, ошибки нашли внутренние исследователи HPE Networking.
Обход аутентификации и отказ в обслуживании в iLO
Контроллеры Integrated Lights-Out отвечают за удалённое управление серверами на уровне ниже операционной системы. Всего в трёх поколениях закрыто шесть уязвимостей. Максимальный балл 9.8 у CVE-2026-65206: эксплуатация удалённая, учётные данные не нужны, а последствия затрагивают конфиденциальность, целостность и доступность целиком. Второй по значимости случай оценивается в 8.8 и требует доступа из смежного сегмента сети.
Остальные ошибки приводят к отказу в обслуживании с оценкой 7.5 либо, в одном случае, к частичному отказу с оценкой 3.7. Обход аутентификации на контроллере управления открывает путь к питанию сервера, виртуальной консоли и образам прошивок. Этот слой не защищён штатными средствами операционной системы. Ошибки обнаружили HD Moore и специалисты runZero.
Исправленные версии: iLO 5 - 3.22 и выше, iLO 6 - 1.79 и выше, iLO 7 - 1.25.01 и выше. Прошивки размещены в центре поддержки HPE. Отдельная мера касается интерфейса IPMI (стандарт внеполосного управления серверами): по умолчанию он отключён, и вендор советует не включать его по сети тем, кто им не пользуется. Это ограничивает поверхность атаки через RMCP+, протокол удалённого управления, на котором работает IPMI. Отмечается также, что iLO 7 не подвержен одной из ошибок, закрытых в iLO 5 и iLO 6.
Больше сорока уязвимостей в подсистемах HPE NonStop
Отказоустойчивые серверы NonStop применяют в банках, биржевых системах и у операторов связи. Свежий бюллетень закрывает больше сорока уязвимостей, и большинство из них эксплуатируется локально: отказ в обслуживании, повреждение памяти, переполнение буфера и стека.
Под удар попали ядро системы, стек Expand для связи между узлами, утилиты TCP/IP, служба DNS, СУБД SQL/MX и её компоненты, драйверы ODBC/MX, Python 3.x, инструменты Java, подсистема SOAP, отладчики и веб-серверы, включая NonStop HTTP WEBSERVER. Самый высокий балл, 9.8, у уязвимости CVE-2002-0391 в подсистеме XDR Streams. Идентификатор выдаёт возраст: ошибку описали больше двадцати лет назад, и в актуальных сборках она снова работает.
Исправления выходят в виде SPR-пакетов, то есть наборов обновлений для отдельных подсистем NonStop. Часть из них требует холодной перезагрузки узла, остальные ставятся на ходу. Вендор указывает, какие выпуски операционной среды совместимы с каждым пакетом.
Основной риск в этих трёх историях сместился с ядер операционных систем на интерфейсы управления. Контроллер iLO, веб-панель коммутатора и служебные подсистемы NonStop находятся на периферии инфраструктуры и редко попадают в поле зрения служб информационной безопасности. При этом доступ к ним даёт контроль над оборудованием. Возвращение двадцатилетней ошибки в свежий бюллетень напоминает, что старые компоненты способны пережить не один цикл обновлений и однажды напомнить о себе снова.
Ссылки
- https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbns05148en_us&docLocale=en_US#hpesbns05148-rev-1-hpe-nonstop-servers-multiple-vu-0
- https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbhf05170en_us&docLocale=en_US#hpesbhf05170-rev-1-hpe-integrated-lights-out-7-ilo-0
- https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw05156en_us&docLocale=en_US#hpesbnw05156-rev-2-multiple-vulnerabilities-in-hpe-0
