Kritische Schwachstellen in HPE Instant On Access Points

Table of Contents

Hewlett Packard Enterprise (HPE) warnt vor zwei schwerwiegenden Sicherheitslücken in HPE Networking Instant On Access Points mit Softwareversion 3.2.0.1 und älter. Die Schwachstellen wurden über das Bug-Bounty-Programm durch das Sirius-Team von Ubisectech gemeldet.

Die Schwachstellen im Ăśberblick:

  • CVE-2025-37103 (CVSS 9.8 – kritisch):
    Fest codierte Zugangsdaten in der Weboberfläche erlauben unauthentifizierten Fernzugriff mit administrativen Rechten.
    → Kein Workaround verfügbar
  • CVE-2025-37102 (CVSS 7.2 – hoch):
    Authentifizierte Befehlseinschleusung über CLI ermöglicht es Angreifern mit erhöhten Rechten, beliebige Systembefehle auszuführen.
    → Kein Workaround verfügbar

Betroffene Geräte:

  • Nur HPE Networking Instant On Access Points (z. B. AP11)
  • Nicht betroffen: Instant On Switches und andere HPE Aruba Networking Produkte

HPE hat mit Version 3.2.1.0 ein Sicherheitsupdate veröffentlicht. Geräte, die automatische Updates aktiviert haben, begannen mit dem Update in der Woche vom 30. Juni 2025. Alternativ kann das Update manuell über die App oder das Web-Portal eingespielt werden.

đź”— Sicherheitsmeldung HPE-SBNW04894
đź”— Weitere Infos zu End-of-Support-Richtlinien

Tags :

Related Posts

„PerfectBlue“ – Bluetooth-Sicherheitslücke betrifft Infotainmentsysteme von Autos

IT-Sicherheitsforscher haben eine kritische Kombination aus vier Bluetooth-Schwachstellen im „BlueSDK“-Protokollstack aufgedeckt. Die als „PerfectBlue“ bezeichnete Lücke betrifft unter anderem Infotainmentsysteme von Mercedes-Benz, Volkswagen und Skoda. Die Lücken ermöglichen unter bestimmten Bedingungen Angriffe über Bluetooth – etwa durch Codeausführung nach erfolgreicher Kopplung.

Read More

NIS-2-Richtlinie: Europa tut sich schwer mit einheitlicher Umsetzung

Die EU-Richtlinie NIS-2, die ein einheitliches und hohes Cybersicherheitsniveau in der Europäischen Union etablieren soll, hätte bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden müssen. Doch Stand Juli 2025 haben lediglich sieben der 27 EU-Mitgliedstaaten diese Frist eingehalten.

Read More

Exploit für kritische FortiWeb-Lücke veröffentlicht

Fortinet hat am Donnerstag ein wichtiges Sicherheitsupdate für seine FortiWeb-Produkte veröffentlicht. Grund ist eine kritische SQL-Injection-Lücke (CVE-2025-25257, CVSS 9.6), die es Angreifern erlaubt, aus dem Internet heraus beliebigen Code auszuführen – und zwar ohne vorherige Authentifizierung. Erste Proof-of-Concept-Exploits sind bereits im Umlauf.

Read More