CVE-2026-76728
WysokieCVSS 7.2Streszczenie
Podatność w punkcie końcowym API HPE Networking Instant ON APs może pozwolić uwierzytelnionemu zdalnemu atakującemu z wysokimi uprawnieniami na przeprowadzenie ataku typu server-side request forgery (SSRF). Udana eksploatacja może pozwolić atakującemu na wykonanie dowolnych poleceń jako uprzywilejowany użytkownik w systemie operacyjnym.
Ocena ryzyka
Atakujący z wysokimi uprawnieniami może wykorzystać SSRF do wykonania dowolnych poleceń w systemie, co prowadzi do pełnego przejęcia kontroli nad urządzeniem. Może to skutkować dalszą eskalacją w sieci.
Rekomendacja
Zaktualizować oprogramowanie HPE Networking Instant ON do wersji zawierającej poprawkę. Ograniczyć dostęp do API i wdrożyć zasadę minimalnych uprawnień.
Inne podatności w HPE Networking Instant ON
Zobacz wszystkie- CVE-2026-76738Niskie
W punkcie końcowym API HPE Networking Instant On występuje przepełnienie bufora, które może pozwolić uwierzytelnionemu atakującemu z uprawnieniami administracyjnymi na wywołanie odmowy usługi. Skuteczne wykorzystanie może przerwać normalne działanie usługi, która jednak wraca do sprawności bez ręcznej interwencji.
- CVE-2026-76737Niskie
W interfejsie wiersza poleceń HPE Networking Instant On występuje podatność typu path traversal wymagająca uwierzytelnienia. Skuteczne wykorzystanie może pozwolić atakującemu z dostępem administracyjnym na modyfikację ograniczonego zestawu plików w systemie operacyjnym oraz na przerwanie normalnego działania usługi.
- CVE-2026-76736Niskie
W systemie operacyjnym urządzeń HPE Networking Instant On występuje przepełnienie bufora. Skuteczne wykorzystanie może pozwolić lokalnemu, uwierzytelnionemu atakującemu z niskimi uprawnieniami na przerwanie normalnego działania usługi.
- CVE-2026-76735Średnie
Podatność ujawniania wrażliwych informacji w systemie operacyjnym HPE Networking Instant On. Udane wykorzystanie przez lokalnego atakującego z wysokimi uprawnieniami może pozwolić na uzyskanie informacji, które mogą być użyte do dalszego dostępu do usług sieciowych, tylko jeśli spełnione są pewne warunki poza kontrolą atakującego.
- CVE-2026-76734Średnie
Podatność uszkodzenia pamięci w interfejsie HPE Networking Instant On może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na przeprowadzenie ataku DoS. Udane wykorzystanie może przerwać normalne działanie usługi i umożliwić dostęp do ograniczonych informacji w komponencie.
- CVE-2026-76733Średnie
Podatność DoS w endpoint API HPE Networking Instant On może pozwolić uwierzytelnionemu atakującemu z uprawnieniami administracyjnymi na spowodowanie przerwy w działaniu. Usługa wznawia działanie bez ręcznej interwencji.
- CVE-2026-76732Średnie
Podatność lokalnej eskalacji uprawnień w demonie HPE Networking Instant On. Udane wykorzystanie może pozwolić lokalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami root, jeśli spełnione są pewne warunki poza kontrolą atakującego.
- CVE-2026-76731Średnie
Podatność obejścia uwierzytelniania w portalu przechwytującym HPE Networking Instant On może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na ominięcie istniejących kontroli uwierzytelniania. Udane wykorzystanie może dać ograniczony dostęp do danych i umożliwić ograniczone zmiany w komponencie.
- CVE-2026-76730Średnie
Podatność obejścia uwierzytelniania w protokole PAPI w punktach dostępowych HPE Networking Instant On może pozwolić nieuwierzytelnionemu sąsiadującemu atakującemu na ominięcie istniejących kontroli uwierzytelniania. Udane wykorzystanie może pozwolić na wysyłanie nieautoryzowanego ruchu sieciowego do urządzenia.
- CVE-2026-76729Średnie
Podatność format string w endpoint API punktów dostępowych HPE Networking Instant On może pozwolić uwierzytelnionemu zdalnemu atakującemu z wysokimi uprawnieniami na spowodowanie uszkodzenia pamięci przez zmodyfikowane dane wejściowe. Udane wykorzystanie może prowadzić do DoS lub zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the API endpoint of HPE Networking Instant ON APs could allow an authenticated remote attacker with high privileges to conduct a server-side request forgery (SSRF) attack. Successful exploitation could allow an attacker to execute arbitrary commands as a privileged user on the underlying operating system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS