HPE OneView 软件漏洞允许攻击者执行远程代码

一项关键安全警报警告客户， HPE OneView软件存在严重漏洞，可能允许远程攻击者在未经身份验证的情况下执行任意代码。

该漏洞编号为 CVE-2025-37164，CVSS 严重性评分为 10.0，表明存在最大严重风险。



HPE OneView漏洞可实现远程代码执行
该漏洞影响 HPE OneView 软件 v11.00 之前的所有版本。未经身份验证的远程攻击者可以利用该漏洞实现远程代码执行。

该攻击无需用户交互或特殊访问权限，因此可立即通过网络利用。该漏洞会影响受影响系统的机密性、完整性和可用性。

根据 HPE 的安全公告 HPESBGN04985，该漏洞由安全研究员 brocked200（阮国庆）于 2025 年 12 月 16 日负责任地披露。

CVSS 向量字符串 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A: H 表示该漏洞可在网络上利用，而无需任何身份验证或用户交互。

攻击复杂度低意味着攻击者可以使用简单的技术可靠地执行漏洞利用。

HPE建议所有受影响的客户立即采取行动。主要解决方案是通过My HPE软件中心门户升级到HPE OneView v11.00或更高版本。

运行 OneView 版本 5.20 至 10.20 的组织可以应用从 HPE 支持渠道获得的专用安全热修复程序。

从 HPE OneView 6.60.xx 升级到 7.00.00 后，必须重新应用安全热修复程序，包括 HPE Synergy Composer 重新映像操作。

鉴于 HPE OneView 部署的严重性和易受攻击性，管理 HPE OneView 部署的安全管理员应优先修补这些系统。

HPE建议定期审查系统管理和安全程序，以维护系统完整性。

无法立即进行修补的组织应实施网络分段，以限制对 HPE OneView 系统的访问，并监控可疑活动。

对于技术实施方面的问题，HPE 客户应联系其常用的 HPE 服务支持渠道。

HPE持续监控并增强其软件产品组合中的安全功能，以向客户提供应对新兴威胁的最新、安全解决方案。