HPE corrige fallos críticos en Fabric Composer
HPE publicó el boletín HPESBNW05172 para Fabric Composer, con una CVE crítica de acceso administrativo sin autenticación. Detallamos las versiones afectadas, los builds corregidos y las medidas de contención recomendadas mientras se actualiza.
El boletín HPESBNW05172, publicado el 3 de noviembre, corrige varias vulnerabilidades de HPE Networking Fabric Composer (AFC). La más llamativa, CVE-2026-95731, describe una contraseña codificada en la interfaz de línea de comandos (CLI) que podría dar acceso administrativo remoto sin autenticación a quien alcance el sistema. La alerta importa porque Fabric Composer vive en el plano desde el que se administra una red de centros de datos: una consola de gestión también es infraestructura crítica.
-InfraCrew dice: Si una clave incrustada llega hasta una interfaz alcanzable desde redes de usuario, el problema no necesita presentación en la reunión de cambios.-
Qué corrige HPE
CVE-2026-95731 tiene una puntuación CVSS de 9,8 y afecta a Fabric Composer 7.4.0 y versiones anteriores, además de 7.3.4 y anteriores en la rama 7.3. HPE publicó como correcciones Fabric Composer 7.4.1 o posterior para la serie 7.4 y 7.3.5 o posterior para la serie 7.3. El aviso es más amplio que esta vulnerabilidad concreta; el resumen de CERT-FR también recoge riesgos de ejecución remota de código, elevación de privilegios y denegación de servicio dentro de los fallos cubiertos.
El vector de CVE-2026-95731 es especialmente incómodo para una interfaz de gestión: no exige credenciales ni interacción de una persona, pero el atacante necesita conectividad de red hasta el sistema afectado. El impacto descrito por HPE es acceso administrativo no autorizado. Eso no equivale a afirmar que todos los switches administrados queden comprometidos automáticamente; el primer activo en riesgo es Fabric Composer y su función de administración.
-InfraCrew dice: El límite entre “red de gestión” y “red de usuarios” suele parecer invisible hasta que alguien lo cruza sin pedir turno.-
HPE indica que las vulnerabilidades fueron halladas por su equipo interno y que, al publicar el aviso, no conocía debate público ni código de explotación dirigido contra ellas. Conviene mantener juntas ambas partes del dato: la severidad es crítica y el acceso remoto sin autenticación merece atención, pero la publicación no demuestra explotación activa. La puntuación CVSS ordena la gravedad técnica; no sustituye la comprobación de exposición en cada instalación.
La ventana de trabajo real
El inventario debe separar versiones mantenidas de ramas antiguas. HPE presume afectadas las versiones que llegaron al fin de mantenimiento salvo que el boletín indique otra cosa; para versiones que ya superaron el fin de soporte, la empresa no evaluó la exposición y pide tratarlas como potencialmente afectadas. Por eso, un número de versión que no coincida con las dos ramas corregidas no es motivo para dar el caso por cerrado: primero hay que confirmar si esa instalación sigue soportada.
Para las ramas cubiertas, la corrección es actualizar a 7.4.1 o 7.3.5 como mínimo, según la serie instalada. Si el cambio debe esperar una ventana, HPE recomienda limitar las interfaces de gestión CLI y web a una VLAN de capa 2 dedicada y aplicar controles de firewall en capa 3 o superiores. También pide habilitar controles de auditoría para registrar actividad y uso de recursos. No es una mitigación mágica: reduce quién puede alcanzar la consola, pero no reemplaza el parche.
-InfraCrew dice: Un firewall delante de la gestión no convierte una versión vulnerable en segura; sí puede evitar que medio edificio llegue a probarlo.-
La prioridad práctica es localizar cada instancia de AFC, confirmar su rama y soporte, y revisar qué redes pueden alcanzar sus interfaces de administración antes de programar el cambio. Después de actualizar, el equipo puede comprobar la versión efectiva y conservar el registro de la intervención junto con la revisión de accesos. Si hay una versión fuera de soporte, toca decidir una ruta hacia una versión soportada con la documentación de HPE; el boletín no ofrece evaluación para instalaciones EoS.
Este caso recuerda una separación importante en redes de centros de datos: la gestión no es un plano secundario. Fabric Composer no es el tráfico de producción, pero controla una plataforma desde la que se opera la red; por eso, una credencial reutilizable en su CLI amplía el alcance de una exposición que, en otro equipo, quizá quedaría confinada a una cuenta. Segmentar esa superficie y mantener sus ramas al día son parte del diseño de la red, no tareas cosméticas de inventario.
Diccionario de la Crew
AFC — HPE Networking Fabric Composer, software de gestión de redes de centros de datos.
CLI — Interfaz de línea de comandos para administrar un sistema mediante órdenes de texto.
CVE — Identificador público y único asignado a una vulnerabilidad.
CVSS — Sistema de puntuación que estima la gravedad técnica de una vulnerabilidad.
VLAN — Red local virtual que separa dominios de tráfico sobre la misma infraestructura física.
