A Hewlett Packard Enterprise (HPE) corrigiu uma vulnerabilidade crítica em seu software HPE OneView, que permite a execução remota de código arbitrário por atacantes.
O OneView é uma solução de gerenciamento de infraestrutura da HPE que simplifica a operação e automatiza a administração de servidores, dispositivos de armazenamento e redes por meio de uma interface centralizada.
A falha crítica (
CVE-2025-37164
) foi identificada pelo pesquisador vietnamita Nguyen Quoc Khanh (conhecido como brocked200) e comunicada à equipe de segurança da HPE.
O problema afeta todas as versões do OneView lançadas antes da 11.00.
Atacantes não autenticados podem explorá-la via ataques de injeção de código, com baixa complexidade, permitindo execução remota em sistemas desatualizados.
Em comunicado divulgado na última terça-feira, a HPE alertou: “Foi identificada uma vulnerabilidade de segurança no software Hewlett Packard Enterprise OneView.
Essa falha pode ser explorada por um usuário remoto não autenticado para executar código remotamente.”
Não há soluções alternativas ou mitigações conhecidas para a
CVE-2025-37164
.
Por isso, os administradores são orientados a aplicar o patch o quanto antes para proteger os sistemas vulneráveis.
A empresa ainda não confirmou se a vulnerabilidade já foi explorada em ataques reais.
Para corrigir a falha, as organizações devem atualizar para a versão 11.00 ou superior do OneView, disponível no Software Center da HPE.
Para dispositivos com versões entre 5.20 e 10.20, a vulnerabilidade pode ser corrigida com um hotfix de segurança, que precisa ser reaplicado em atualizações específicas, como na migração da versão 6.60 ou mais recente para a 7.00.00, ou após operações de reimaging do HPE Synergy Composer.
O hotfix está disponível em downloads separados para o appliance virtual e para o Synergy, acessíveis nas páginas dedicadas de suporte.
Em junho, a HPE corrigiu oito vulnerabilidades em sua solução StoreOnce, especializada em backup e deduplicação baseados em disco, entre elas uma falha crítica de bypass de autenticação e três vulnerabilidades de execução remota de código.
Já em julho, a empresa alertou sobre credenciais hardcoded em Aruba Instant On Access Points, que poderiam permitir acesso não autorizado à interface web, burlando o processo padrão de autenticação dos dispositivos.
Atualmente, a HPE emprega mais de 61 mil colaboradores no mundo e registrou receita de US$ 30,1 bilhões em 2024.
Seus produtos e serviços são usados por mais de 55 mil organizações globalmente, incluindo 90% das empresas da Fortune 500.
Publicidade
Conheça a Solyd One, e tenha acesso a todos os cursos de segurança ofensiva da Solyd, todas as certificações práticas, incluindo a SYCP, 2 CTFs anuais com prêmios de até 30 mil reais, dezenas de laboratórios realísticos, suporte, comunidade e muito mais. Saiba mais...