HPE ha lanzado actualizaciones de seguridad para HPE Networking Fabric Composer tras descubrir un conjunto de vulnerabilidades críticas. Estos fallos, que afectan a la versión 7.3.3 y anteriores, podrían permitir que atacantes no autenticados obtengan acceso de administrador, ejecuten comandos arbitrarios y comprometan totalmente los sistemas afectados.

HPE ha lanzado actualizaciones de seguridad para HPE Networking Fabric Composer tras el descubrimiento de un amplio conjunto de vulnerabilidades que podrían permitir que atacantes no autenticados obtengan acceso de administrador, ejecuten comandos arbitrarios y comprometan totalmente los sistemas afectados.

Los fallos afectan a la versión 7.3.3 y anteriores de HPE Networking Fabric Composer. Fabric Composer se utiliza para gestionar y automatizar fabrics de red de centros de datos, lo que hace que un compromiso exitoso sea particularmente grave ya que la plataforma puede controlar infraestructura de red importante.

Las vulnerabilidades más severas están rastreadas como CVE-2026-76657 y CVE-2026-76658. Ambas recibieron una puntuación máxima de CVSS de 10.0.

HPE afirmó que el fallo de omisión de autenticación de la API, CVE-2026-76657, podría permitir que un atacante remoto eluda los controles de autenticación existentes y obtenga privilegios administrativos sin credenciales válidas. Este acceso podría conducir a una toma de control completa del host de Fabric Composer.

El CVE-2026-76658 afecta al demonio SSH del producto. Un atacante remoto no autenticado podría explotar el problema para obtener acceso administrativo y ejecutar comandos arbitrarios como un usuario privilegiado en el sistema operativo subyacente.

Fallos de HPE Fabric Composer

En términos prácticos, un exploit exitoso puede dar a un atacante el control del dispositivo y la capacidad de alterar su configuración, robar información o usarlo como punto de apoyo para realizar movimientos adicionales dentro de la red de una organización.

HPE también solucionó el CVE-2026-19766, una omisión de autenticación de red adyacente calificada con 9.6. La vulnerabilidad podría permitir que un atacante no autenticado en un segmento de red conectado ejecute código arbitrario con permisos privilegiados del sistema operativo.

Otros hallazgos graves incluyen errores de ejecución remota de código no autenticada, problemas de cross-site scripting almacenado, inyección de comandos, escritura de archivos arbitrarios, inyección SQL, escalada de privilegios, divulgación de información y fallos de denegación de servicio.

Varias debilidades son especialmente preocupantes porque pueden encadenarse. Por ejemplo, un atacante puede usar primero un error de divulgación de información para comprender los servicios internos, y luego explotar una omisión de autenticación o un fallo de ejecución remota de código para tomar el control del servidor.

Los usuarios de Fabric Composer con menores privilegios también podrían ser capaces de explotar fallos en la API y en la interfaz web para escalar a un acceso administrativo.

HPE dijo que sus investigadores de seguridad internos descubrieron las vulnerabilidades. En el momento en que se publicó el aviso, la empresa afirmó que no tenía conocimiento de código de exploit público ni de discusiones públicas dirigidas a estos problemas.

Sin embargo, la amplia gama y la alta gravedad de los errores hacen que el parcheo inmediato sea importante, particularmente para los sistemas cuyas interfaces de gestión son accesibles desde redes no confiables.

Si usas Fabric Composer en tu organización, deberías actualizar a la versión 7.4.0 o posterior en la rama 7.4, o a la versión 7.3.4 o posterior en la rama 7.3.

HPE también recomienda restringir las interfaces de gestión basadas en web y línea de comandos a un segmento de Capa 2 o VLAN dedicado, aplicar controles de firewall de Capa 3 y utilizar controles de registro y contabilidad para rastrear el acceso y la actividad del usuario.

Las versiones antiguas que han llegado al fin de su mantenimiento deben considerarse potencialmente expuestas, a menos que HPE haya indicado explícitamente lo contrario.

Como administrador, deberías identificar todas las instalaciones de Fabric Composer, confirmar las versiones que tienes ejecutando, aplicar las correcciones del proveedor y revisar las cuentas de administrador, la exposición de SSH, el acceso a la API y los registros de gestión de red en busca de actividad sospechosa.