<p>惠普企业公司已告知客户停止手头的所有工作，并对 OneView 进行补丁，因为该公司承认一个最高严重性漏洞可能允许攻击者在管理平台上运行代码，而无需登录提示。</p>
<p>根据该公司本周发布的公告，该漏洞被追踪为 CVE-2025-37164，并在 CVSS 评分中被评为最高 10.0，影响 HPE OneView 版本 5.20 至 10.20，并允许未经身份验证的远程代码执行。OneView 是许多企业环境的核心，作为服务器、固件、存储和生命周期管理的中央控制平面。</p>
<p>惠普企业在其公告中表示：“在惠普企业 OneView 软件中发现了潜在的安全漏洞。该漏洞可能被利用，允许远程未经身份验证的用户执行远程代码。”</p>
<p>惠普企业表示，该问题是由安全研究员阮国庆报告的，并敦促客户立即升级到 OneView 11.0 或应用紧急热修复。针对 OneView 虚拟设备和 HPE Synergy 部署的单独修复程序也已提供。</p>
<p>Rapid7 分析了该漏洞和供应商的热修复，告诉 <em>The Register</em>，真正的危险不仅仅是代码执行，而是发生的地点。OneView 通常被部署在网络深处，拥有广泛的权限和最小的审查，因为它被认为是可信的。在该层级的未经身份验证的远程代码执行不仅仅是打开了一扇门——它还交出了建筑的钥匙。</p>
<p>换句话说，攻陷 OneView 可能使攻击者能够集中控制大规模基础设施的多个部分，而不仅仅是访问单个被攻陷的设备。这使其成为比普通边缘服务器漏洞更具吸引力的目标。</p>
<ul>
<li>超级云计算公司在第三季度推动 1120 亿美元的服务器支出狂潮</li>
<li>惠普企业的服务器和混合云收入在历史硬件狂潮中出现逆转</li>
<li>惠普企业支持 AMD 的 Helios AI 机架与 Juniper 的扩展交换机</li>
<li>高端超级计算机文件系统 DAOS 如何突破其小众市场</li>
</ul>
<p>Rapid7 对热修复的初步检查表明，该漏洞与设备暴露的特定 REST API 端点有关。该修复通过在 Web 服务器级别阻止对该端点的访问来工作，该公司表示对该端点是主要访问向量的信心很高。</p>
<p>惠普企业尚未说明该缺陷是否正在被积极利用，但历史表明，这类漏洞不会长时间停留在理论阶段。高度特权的管理平台通常成为勒索软件团队和其他攻击者的目标，他们寻求绕过边界防御的捷径。</p>
<p>目前，如果您正在运行易受攻击的 OneView 版本，请立即进行补丁或升级。与此同时，Rapid7 建议防御者将此问题视为假设入侵场景，审查网络分段，并停止将基础设施管理层视为不可触碰。®</p>

<p>惠普企业（Hewlett Packard Enterprise，HPE）已向客户发布紧急通知，要求修补 OneView 软件，因为发现了一个严重的远程代码执行漏洞（CVE-2025-37164），该漏洞在 CVSS 评分中被评为 10.0。该缺陷影响版本 5.20 至 10.20，允许未经身份验证的访问。HPE 建议升级到 OneView 11.0 或应用紧急热修复。Rapid7 强调，如果该漏洞被利用，将会对基础设施的集中控制构成风险。客户被敦促立即采取行动</p>

<p>Hewlett Packard Enterprise has told customers to drop whatever they're doing and patch OneView after admitting a maximum-severity bug could let attackers run code on the management platform without so much as a login prompt.</p>
<div class="lb-trans"><p>惠普企业公司已告知客户停止手头的所有工作，并对 OneView 进行补丁，因为该公司承认一个最高严重性漏洞可能允许攻击者在管理平台上运行代码，而无需登录提示。</p>
</div><p>The vulnerability, tracked as CVE-2025-37164 and rated a maximum 10.0 on the CVSS scale, affects HPE OneView versions 5.20 through 10.20 and allows unauthenticated remote code execution, according to an advisory published by the company this week. OneView sits at the heart of many enterprise environments, serving as a central control plane for servers, firmware, storage, and lifecycle management.</p>
<div class="lb-trans"><p>根据该公司本周发布的公告，该漏洞被追踪为 CVE-2025-37164，并在 CVSS 评分中被评为最高 10.0，影响 HPE OneView 版本 5.20 至 10.20，并允许未经身份验证的远程代码执行。OneView 是许多企业环境的核心，作为服务器、固件、存储和生命周期管理的中央控制平面。</p>
</div><p>&#34;A potential security vulnerability has been identified in Hewlett Packard Enterprise OneView Software,&#34; HPE said in its advisory. &#34;This vulnerability could be exploited, allowing a remote unauthenticated user to perform remote code execution.&#34;</p>
<div class="lb-trans"><p>惠普企业在其公告中表示：“在惠普企业 OneView 软件中发现了潜在的安全漏洞。该漏洞可能被利用，允许远程未经身份验证的用户执行远程代码。”</p>
</div><p>HPE said the issue was reported by security researcher Nguyen Quoc Khanh and is urging customers to either upgrade to OneView 11.0 or apply the emergency hotfix immediately. Separate fixes are available for the OneView virtual appliance and for HPE Synergy deployments.</p>
<div class="lb-trans"><p>惠普企业表示，该问题是由安全研究员阮国庆报告的，并敦促客户立即升级到 OneView 11.0 或应用紧急热修复。针对 OneView 虚拟设备和 HPE Synergy 部署的单独修复程序也已提供。</p>
</div><p>Rapid7, which has analyzed the vulnerability and the vendor's hotfix, told <em>The Register</em> that the real danger isn't just code execution, but where it happens. OneView is typically deployed deep inside the network with sweeping privileges and minimal scrutiny, because it's assumed to be trustworthy. An unauthenticated RCE at that layer doesn't just open a door – it hands over the keys to the building.</p>
<div class="lb-trans"><p>Rapid7 分析了该漏洞和供应商的热修复，告诉 <em>The Register</em>，真正的危险不仅仅是代码执行，而是发生的地点。OneView 通常被部署在网络深处，拥有广泛的权限和最小的审查，因为它被认为是可信的。在该层级的未经身份验证的远程代码执行不仅仅是打开了一扇门——它还交出了建筑的钥匙。</p>
</div><p>In other words, popping OneView could give an attacker centralized control over large chunks of infrastructure at scale, rather than access to a single compromised box. That makes it a far more attractive target than the average edge-facing server bug.</p>
<div class="lb-trans"><p>换句话说，攻陷 OneView 可能使攻击者能够集中控制大规模基础设施的多个部分，而不仅仅是访问单个被攻陷的设备。这使其成为比普通边缘服务器漏洞更具吸引力的目标。</p>
</div><ul>
<li>Hyperscalers fuel $112B server spending spree in Q3</li>
<li>HPE's server and hybrid cloud revenue go into reverse amid historical hardware splurge</li>
<li>HPE backs AMD's Helios AI rack with Juniper's scale-up switch</li>
<li>How high-end supercomputer filesystem DAOS can break out of its niche</li>
</ul>
<div class="lb-trans"><ul>
<li>超级云计算公司在第三季度推动 1120 亿美元的服务器支出狂潮</li>
<li>惠普企业的服务器和混合云收入在历史硬件狂潮中出现逆转</li>
<li>惠普企业支持 AMD 的 Helios AI 机架与 Juniper 的扩展交换机</li>
<li>高端超级计算机文件系统 DAOS 如何突破其小众市场</li>
</ul>
</div><p>Rapid7's initial inspection of the hotfix suggests the vulnerability is tied to a specific REST API endpoint exposed by the appliance. The fix works by blocking access to that endpoint at the web server level, and the firm said it has a high degree of confidence that this endpoint is the primary access vector.</p>
<div class="lb-trans"><p>Rapid7 对热修复的初步检查表明，该漏洞与设备暴露的特定 REST API 端点有关。该修复通过在 Web 服务器级别阻止对该端点的访问来工作，该公司表示对该端点是主要访问向量的信心很高。</p>
</div><p>HPE has not said whether the flaw is being actively exploited, but history suggests bugs like this don't stay theoretical for long. Highly privileged management platforms are often targeted by ransomware crews and other attackers seeking shortcuts past perimeter defenses.</p>
<div class="lb-trans"><p>惠普企业尚未说明该缺陷是否正在被积极利用，但历史表明，这类漏洞不会长时间停留在理论阶段。高度特权的管理平台通常成为勒索软件团队和其他攻击者的目标，他们寻求绕过边界防御的捷径。</p>
</div><p>For now, if you're running a vulnerable version of OneView, patch or upgrade immediately. Rapid7, meanwhile, suggests defenders treat the issue as an assumed-breach scenario, review network segmentation, and stop treating infrastructure management layers as untouchable. ®</p>
<div class="lb-trans"><p>目前，如果您正在运行易受攻击的 OneView 版本，请立即进行补丁或升级。与此同时，Rapid7 建议防御者将此问题视为假设入侵场景，审查网络分段，并停止将基础设施管理层视为不可触碰。®</p>
</div>

Hewlett Packard Enterprise 告知客户要迅速修补，因为 OneView 远程代码执行漏洞得到了满分 10 分