Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en Fabric Composer de HPE

Resumen de la alerta

HPE ha publicado correcciones para 46 vulnerabilidades identificadas en HPE Networking Fabric Composer. El conjunto de fallos incluye 3 vulnerabilidades críticas, 20 de severidad alta, 18 medias y 5 bajas.

Los problemas de mayor gravedad podrían permitir que un atacante sin autenticación obtenga acceso administrativo al sistema o ejecute código arbitrario. Por ello, las organizaciones que administren infraestructuras mediante esta plataforma deben priorizar la identificación de las instalaciones afectadas y la actualización a las versiones corregidas.

Según la información disponible, no existe explotación conocida de los tres CVE críticos detallados en el aviso.

Recursos afectados

• HPE Networking Fabric Composer 7.4.0.
• HPE Networking Fabric Composer, versiones 7.0.0 a 7.3.4.
• Las versiones que hayan alcanzado el fin de mantenimiento o soporte también deben considerarse potencialmente afectadas. HPE recomienda migrarlas a una rama soportada.

Descripción de las vulnerabilidades

Las tres vulnerabilidades críticas comunicadas por HPE se relacionan con credenciales incorporadas y con un mecanismo de autenticación que puede ser evadido. Estos fallos afectan a componentes de administración y al sistema operativo subyacente, con posibles consecuencias relevantes para la seguridad de la plataforma.

• CVE-2026-95731: la presencia de contraseñas incorporadas en la interfaz de línea de comandos podría permitir que un atacante remoto sin autenticar obtenga acceso con privilegios administrativos.
• CVE-2026-95732: una evasión de autenticación en el sistema operativo subyacente podría permitir la ejecución de código arbitrario por parte de un atacante sin autenticar situado en una red adyacente.
• CVE-2026-95733: el uso de credenciales incorporadas en un componente podría facilitar la ejecución de código arbitrario a un atacante sin autenticar desde una red adyacente.

La ejecución de código arbitrario implica que, si el fallo se explota con éxito, el atacante podría ejecutar instrucciones en el sistema afectado. La capacidad efectiva y el alcance dependerían de las condiciones técnicas del entorno y de la vulnerabilidad concreta.

Impacto y nivel de riesgo

La severidad crítica de CVE-2026-95731, CVE-2026-95732 y CVE-2026-95733 se debe a que podrían proporcionar acceso administrativo o permitir la ejecución de código sin que el atacante disponga de credenciales válidas.

Dos de los fallos críticos requieren que el atacante se encuentre en una red adyacente, mientras que CVE-2026-95731 se describe como explotable de forma remota. En todos los casos detallados, el atacante no necesitaría autenticarse previamente.

INCIBE-CERT indica “Explotación: No” para los tres CVE críticos. Esto significa que no se ha comunicado explotación conocida de estas vulnerabilidades; no obstante, su impacto potencial justifica aplicar las actualizaciones disponibles con prioridad.

Solución y medidas recomendadas

HPE recomienda actualizar HPE Networking Fabric Composer según la rama instalada:

• Rama 7.4.x: actualizar a la versión 7.4.1 o posterior.
• Rama 7.3.x: actualizar a la versión 7.3.5 o posterior.

Las actualizaciones están disponibles en el portal de soporte de HPE Networking.

Como medidas complementarias indicadas en el aviso, se recomienda restringir el acceso a las interfaces de administración web y de línea de comandos. Este acceso puede limitarse mediante una VLAN dedicada o mediante reglas de cortafuegos. También conviene registrar la actividad administrativa para facilitar la supervisión de los accesos y operaciones realizadas sobre la plataforma.

Recomendaciones para organizaciones afectadas

1. Identificar las instancias de HPE Networking Fabric Composer desplegadas en la organización y confirmar la versión instalada.
2. Priorizar la actualización de los sistemas en versión 7.4.0 y de aquellos comprendidos entre las versiones 7.0.0 y 7.3.4.
3. Migrar los sistemas fuera de soporte a una rama mantenida por el fabricante.
4. Restringir la exposición de las interfaces de administración web y de línea de comandos a redes administrativas controladas.
5. Revisar y conservar los registros de actividad administrativa, especialmente durante el proceso de actualización y tras aplicar las medidas de restricción de acceso.