Η Hewlett Packard Enterprise (HPE) έχει επιδιορθώσει μια ευπάθεια μέγιστης σοβαρότητας στο λογισμικό της HPE OneView που επιτρέπει στους εισβολείς να εκτελούν αυθαίρετο κώδικα εξ αποστάσεως.
Το OneView είναι το λογισμικό διαχείρισης υποδομής της HPE που βοηθά τους διαχειριστές IT να εκσυγχρονίσουν τις λειτουργίες και να αυτοματοποιήσουν τη διαχείριση διακομιστών, συσκευών αποθήκευσης και δικτύωσης από μια κεντρική διεπαφή.
Αυτό το κρίσιμο ελάττωμα ασφαλείας (CVE-2025-37164) αναφέρθηκε από τον Βιετναμέζο ερευνητή ασφάλειας Nguyen Quoc Khanh (brocked200) στην ομάδα ασφαλείας της εταιρείας.
Επηρεάζει όλες τις εκδόσεις του OneView που κυκλοφόρησαν πριν από την έκδοση 11.00 και μπορεί να χρησιμοποιηθεί από μη επαληθευμένους παράγοντες απειλών σε χαμηλή πολυπλοκότητα ένεση κωδικού επιθέσεις για να αποκτήσουν απομακρυσμένη εκτέλεση κώδικα σε μη επιδιορθωμένα συστήματα.
“Έχει εντοπιστεί μια πιθανή ευπάθεια ασφαλείας στο λογισμικό Hewlett Packard Enterprise OneView Software. Αυτή η ευπάθεια θα μπορούσε να γίνει αντικείμενο εκμετάλλευσης, επιτρέποντας σε έναν απομακρυσμένο χρήστη χωρίς έλεγχο ταυτότητας να εκτελέσει απομακρυσμένη εκτέλεση κώδικα”, προειδοποίησε η HPE σε μια Συμβουλευτική Τρίτη.
Δεν υπάρχουν εναλλακτικοί τρόποι αντιμετώπισης ή μετριασμούς για το CVE-2025-37164, επομένως συνιστάται στους διαχειριστές να επιδιορθώσουν τα ευάλωτα συστήματα το συντομότερο δυνατό.
Η HPE δεν έχει ακόμη επιβεβαιώσει εάν αυτή η ευπάθεια έχει στοχευτεί σε επιθέσεις και λέει ότι οι επηρεαζόμενοι οργανισμοί μπορούν να αναβαθμίσουν στην έκδοση OneView 11.00 ή μεταγενέστερη, διαθέσιμη μέσω του Κέντρου Λογισμικού της HPEγια να το μπαλώσεις.
Σε συσκευές που εκτελούν εκδόσεις OneView 5.20 έως 10.20, η ευπάθεια μπορεί να αντιμετωπιστεί με την ανάπτυξη μιας επείγουσας επιδιόρθωσης ασφαλείας, η οποία πρέπει να εφαρμοστεί ξανά μετά την αναβάθμιση από την έκδοση 6.60 ή μεταγενέστερη στην έκδοση 7.00.00 ή μετά από οποιεσδήποτε λειτουργίες επαναεικόνισης του HPE Synergy Composer.
Διατίθενται ξεχωριστές λήψεις για το επείγουσα επιδιόρθωση ασφάλειας εικονικής συσκευής και το Επείγουσα επιδιόρθωση ασφάλειας Synergy μέσω ειδικών σελίδων υποστήριξης.
Τον Ιούνιο, η HPE διορθώθηκε οκτώ ευπάθειες στο StoreOnce, τη λύση δημιουργίας αντιγράφων ασφαλείας και αφαίρεσης διπλών αντιγράφων που βασίζεται σε δίσκο, συμπεριλαμβανομένης μιας παράκαμψης ελέγχου ταυτότητας κρίσιμης σοβαρότητας και τριών ελαττωμάτων απομακρυσμένης εκτέλεσης κώδικα.
Ένα μήνα αργότερα, τον Ιούλιο, προειδοποίησε για σκληρά κωδικοποιημένα διαπιστευτήρια στα Aruba Instant On Access Points που θα μπορούσαν να επιτρέψουν στους εισβολείς να έχουν πρόσβαση στη διεπαφή ιστού αφού παρακάμψουν τον τυπικό έλεγχο ταυτότητας συσκευής.
Η HPE έχει πάνω από 61.000 υπαλλήλους παγκοσμίως και έχει αναφέρει έσοδα 30,1 δισεκατομμυρίων δολαρίων το 2024. Τα προϊόντα και οι υπηρεσίες της χρησιμοποιούνται από περισσότερους από 55.000 οργανισμούς παγκοσμίως, συμπεριλαμβανομένου του 90% των εταιρειών του Fortune 500.
Το σπασμένο IAM δεν είναι απλώς ένα πρόβλημα πληροφορικής – ο αντίκτυπος κυματίζεται σε ολόκληρη την επιχείρησή σας.
Αυτός ο πρακτικός οδηγός καλύπτει γιατί οι παραδοσιακές πρακτικές IAM αποτυγχάνουν να συμβαδίζουν με τις σύγχρονες απαιτήσεις, παραδείγματα για το πώς φαίνεται το “καλό” IAM και μια απλή λίστα ελέγχου για τη δημιουργία μιας επεκτάσιμης στρατηγικής.
VIA: bleepingcomputer.com
