Resumen ejecutivo
HPE Aruba Networking ha detectado múltiples vulnerabilidades críticas en Telco Service Orchestrator que comprometen la seguridad del sistema. La vulnerabilidad CVE-2025-37184 (CVSS 9.8) permite a un atacante remoto no autenticado eludir la autenticación multifactor, facilitando la creación de cuentas de administrador sin controles de seguridad. Además, CVE-2026-41293 (CVSS 9.8) presenta una validación de entrada inadecuada en Apache Tomcat, lo que podría permitir la ejecución de código no autorizado. Se requiere actualización inmediata a las versiones corregidas (9.6.1+, 9.5.6+, 9.4.8+) para mitigar estos riesgos, ya que no existen soluciones temporales. Actualmente, no se ha reportado explotación activa, pero la gravedad de estas vulnerabilidades exige atención urgente.
Recursos afectados
- HPE Aruba Networking EdgeConnect SD-WAN Orchestrator 9.6.x (9.6.0)
- HPE Aruba Networking EdgeConnect SD-WAN Orchestrator 9.5.x (9.5.5 and below)
- HPE Aruba Networking EdgeConnect SD-WAN Orchestrator 9.4.x (9.4.7 and below)
- HPE Aruba Networking EdgeConnect SD-WAN Orchestrator 9.3.x (todas las versiones afectadas)
- HPE Aruba Networking EdgeConnect SD-WAN Orchestrator 9.2.x (todas las versiones afectadas)
- HPE Telco Service Orchestrator (versiones anteriores a 5.6.1)
Análisis técnico
- CVE-2025-37184: Una vulnerabilidad en un servicio de Orchestrator permite a un atacante remoto no autenticado evitar la autenticación multifactor. Esto podría resultar en la creación de una cuenta de usuario administrador sin los controles de seguridad adecuados, comprometiendo el acceso seguro al sistema. Para explotar esta vulnerabilidad, no se requiere autenticación previa.
- CWE-287
- CVSS: 9.8 (crítica)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2026-41293: La vulnerabilidad de validación de entrada inadecuada en Apache Tomcat permite que un atacante envíe datos no válidos, lo que podría comprometer la seguridad del sistema. Esto puede resultar en la ejecución de código no autorizado o acceso a información sensible. Se requiere que el atacante tenga acceso a la interfaz de la aplicación para explotar esta vulnerabilidad. Se recomienda actualizar a la versión [FIXED_VERSION] para solucionar el problema.
- CWE-20
- CVSS: 9.8 (crítica)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2026-41284: La vulnerabilidad de asignación de recursos sin límites o regulación en Apache Tomcat puede permitir el uso excesivo de recursos del servidor. Esto podría resultar en un rendimiento degradado o en la caída del servicio. Se recomienda a los usuarios actualizar a la versión [FIXED_VERSION] para mitigar este problema.
- CWE-770
- CVSS: 7.5 (alta)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
- Explotación: No detectada
- CVE-2025-37181: Las vulnerabilidades en la interfaz de gestión web de EdgeConnect SD-WAN Orchestrator podrían permitir a un atacante remoto autenticado realizar inyecciones SQL. Esto podría resultar en el acceso no autorizado y manipulación de datos en la base de datos. La explotación requiere que el atacante tenga credenciales válidas para acceder al sistema.
- CWE-89
- CVSS: 7.2 (alta)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2025-37183: Las vulnerabilidades en la interfaz de gestión web de EdgeConnect SD-WAN Orchestrator permiten a un atacante remoto autenticado realizar inyecciones SQL. Esto podría resultar en un acceso no autorizado a datos o en la manipulación de información crítica. Para llevar a cabo la explotación, el atacante debe estar autenticado en el sistema.
- CWE-89
- CVSS: 7.2 (alta)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2025-37182: Las vulnerabilidades en la interfaz de gestión web de EdgeConnect SD-WAN Orchestrator permiten que un atacante remoto y autenticado realice inyecciones SQL. Esto podría resultar en el acceso no autorizado o la manipulación de datos en la base de datos. Para explotar estas vulnerabilidades, el atacante necesita estar autenticado en el sistema.
- CWE-89
- CVSS: 7.2 (alta)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2025-37185: Las vulnerabilidades en la interfaz de gestión web de EdgeConnect SD-WAN Orchestrator pueden permitir que un atacante remoto autenticado lleve a cabo ataques de cross-site scripting (XSS) almacenados. Esto podría resultar en la ejecución de código de script malicioso en el navegador de un usuario administrativo, permitiendo al atacante realizar cambios de configuración no autorizados. Para explotar esta vulnerabilidad, el atacante debe estar autenticado en la interfaz afectada.
- CWE-79
- CVSS: 5.5 (media)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N
- Explotación: No detectada
Mitigación / Solución
HPE Aruba Networking recomienda para mitigar las vulnerabilidades en Telco Service Orchestrator actualizar a las siguientes versiones: 9.6.1 o superior para la versión 9.6.x; 9.5.6 o superior para la versión 9.5.x; 9.4.8 o superior para la versión 9.4.x. Además, se sugiere restringir las interfaces de gestión CLI y basadas en web a un segmento/VLAN dedicado o controlarlas mediante políticas de firewall, junto con controles de contabilidad para registrar actividades de usuarios. Como una buena práctica, se recomienda configurar listas de permitidos por IP para usuarios locales del Orchestrator y claves API. Inmediatamente se deben actualizar los sistemas no parchados para reducir el riesgo de explotación.