Alertas de Seguridad Críticas Afectan a Orquestadores de Red Virtual de HPE
Hewlett Packard Enterprise (HPE) ha emitido una alerta de seguridad crucial para sus usuarios, detallando la existencia de múltiples vulnerabilidades en su producto HPE Telco Network Function Virtualization Orchestrator, específicamente en las versiones 7.6.0 y anteriores.
La compañía ha identificado un total de nueve brechas de seguridad, de las cuales dos revisten una severidad crítica, tres son de alto riesgo, dos de nivel medio y las restantes de bajo impacto. La explotación de estas fallas podría tener consecuencias graves para la integridad y disponibilidad de las redes.
La gravedad de estas debilidades de seguridad subraya la importancia de la actualización del software. Las dos vulnerabilidades críticas, en particular, abren la puerta a que un atacante pueda ejecutar código arbitrario en los sistemas comprometidos. Esto significa que un atacante podría tomar el control de partes del sistema, lo que permitiría la fuga de información sensible, la alteración de datos o, en el peor de los escenarios, la interrupción total de los servicios, conocido como denegación de servicio (DoS). La confidencialidad de los datos y la integridad de la información son, por tanto, puestos en jaque.
Detalles de las Vulnerabilidades Críticas
Una de las brechas críticas, identificada como CVE-2025-68121, reside en el componente crypto/tls y se origina por una validación incorrecta de certificados durante la reanudación de sesiones. Si los parámetros de certificación se modifican entre el establecimiento inicial de una conexión y su posterior reanudación, el sistema podría aceptar conexiones que, de otro modo, habrían sido rechazadas. Esto posibilita que entidades no autorizadas establezcan comunicación, comprometiendo seriamente la seguridad de las comunicaciones.
La segunda vulnerabilidad crítica, CVE-2026-40453, afecta a implementaciones de HeaderFilterStrategy dentro de Apache Camel. Una corrección incompleta de una falla anterior permite que un atacante inyecte cabeceras manipuladas a través de mecanismos como JMS, eludiendo así los filtros de seguridad. La explotación exitosa podría llevar a la ejecución remota de código y a la escritura no autorizada de archivos en los sistemas que procesan estos mensajes, una amenaza directa a la infraestructura de red.
Otras Vulnerabilidades de Interés
Dentro de las fallas de alta severidad, destaca CVE-2026-35554, una condición de carrera en la gestión de búferes del cliente productor Java de Apache Kafka. Este fallo podría permitir la reutilización de memoria ya liberada, causando que mensajes se dirijan a temas incorrectos, exponiendo así datos confidenciales o alterando la integridad de los datos.
Las vulnerabilidades de denegación de servicio (DoS) también son motivo de preocupación. Los identificadores CVE-2026-25639 y CVE-2025-61726, ambas catalogadas como de alta severidad, podrían ser explotadas remotamente. La primera, relacionada con la biblioteca Axios, puede provocar el cierre inesperado de aplicaciones mediante un objeto de configuración malicioso. La segunda, vinculada al paquete net/url de Go, puede saturar la memoria al procesar formularios con un número excesivo de parámetros, afectando la disponibilidad del servicio.
Recomendaciones y Mitigación
Ante este panorama, la recomendación principal de HPE es contundente: los usuarios deben actualizar HPE Telco Network Function Virtualization Orchestrator a la versión v.7.7.0 o posteriores. Esta actualización incorpora los parches necesarios para mitigar los riesgos asociados a todas las vulnerabilidades descritas, incluyendo las de severidad crítica y alta. Mantener el software actualizado es una de las prácticas fundamentales en ciberseguridad para proteger las infraestructuras de telecomunicaciones de amenazas cada vez más sofisticadas.
La rápida aplicación de estas actualizaciones es vital para asegurar la continuidad operativa y la protección de los datos gestionados por el orquestador. La gestión de vulnerabilidades y la aplicación de parches de seguridad son pilares esenciales en la defensa de redes contra ataques cibernéticos que buscan comprometer la disponibilidad, la confidencialidad y la integridad de los sistemas de información y comunicación en el sector de las telecomunicaciones.