<p>惠普企業公司已告知客户停止手頭的所有工作，並對 OneView 進行補丁，因為該公司承認一個最高嚴重性漏洞可能允許攻擊者在管理平台上運行代碼，而無需登錄提示。</p>
<p>根據該公司本週發佈的公告，該漏洞被追蹤為 CVE-2025-37164，並在 CVSS 評分中被評為最高 10.0，影響 HPE OneView 版本 5.20 至 10.20，並允許未經身份驗證的遠程代碼執行。OneView 是許多企業環境的核心，作為服務器、固件、存儲和生命週期管理的中央控制平面。</p>
<p>惠普企業在其公告中表示：“在惠普企業 OneView 軟件中發現了潛在的安全漏洞。該漏洞可能被利用，允許遠程未經身份驗證的用户執行遠程代碼。”</p>
<p>惠普企業表示，該問題是由安全研究員阮國慶報告的，並敦促客户立即升級到 OneView 11.0 或應用緊急熱修復。針對 OneView 虛擬設備和 HPE Synergy 部署的單獨修復程序也已提供。</p>
<p>Rapid7 分析了該漏洞和供應商的熱修復，告訴 <em>The Register</em>，真正的危險不僅僅是代碼執行，而是發生的地點。OneView 通常被部署在網絡深處，擁有廣泛的權限和最小的審查，因為它被認為是可信的。在該層級的未經身份驗證的遠程代碼執行不僅僅是打開了一扇門——它還交出了建築的鑰匙。</p>
<p>換句話説，攻陷 OneView 可能使攻擊者能夠集中控制大規模基礎設施的多個部分，而不僅僅是訪問單個被攻陷的設備。這使其成為比普通邊緣服務器漏洞更具吸引力的目標。</p>
<ul>
<li>超級雲計算公司在第三季度推動 1120 億美元的服務器支出狂潮</li>
<li>惠普企業的服務器和混合雲收入在歷史硬件狂潮中出現逆轉</li>
<li>惠普企業支持 AMD 的 Helios AI 機架與 Juniper 的擴展交換機</li>
<li>高端超級計算機文件系統 DAOS 如何突破其小眾市場</li>
</ul>
<p>Rapid7 對熱修復的初步檢查表明，該漏洞與設備暴露的特定 REST API 端點有關。該修復通過在 Web 服務器級別阻止對該端點的訪問來工作，該公司表示對該端點是主要訪問向量的信心很高。</p>
<p>惠普企業尚未説明該缺陷是否正在被積極利用，但歷史表明，這類漏洞不會長時間停留在理論階段。高度特權的管理平台通常成為勒索軟件團隊和其他攻擊者的目標，他們尋求繞過邊界防禦的捷徑。</p>
<p>目前，如果您正在運行易受攻擊的 OneView 版本，請立即進行補丁或升級。與此同時，Rapid7 建議防禦者將此問題視為假設入侵場景，審查網絡分段，並停止將基礎設施管理層視為不可觸碰。®</p>

<p>惠普企業（Hewlett Packard Enterprise，HPE）已向客户發佈緊急通知，要求修補 OneView 軟件，因為發現了一個嚴重的遠程代碼執行漏洞（CVE-2025-37164），該漏洞在 CVSS 評分中被評為 10.0。該缺陷影響版本 5.20 至 10.20，允許未經身份驗證的訪問。HPE 建議升級到 OneView 11.0 或應用緊急熱修復。Rapid7 強調，如果該漏洞被利用，將會對基礎設施的集中控制構成風險。客户被敦促立即採取行動</p>

<p>Hewlett Packard Enterprise has told customers to drop whatever they're doing and patch OneView after admitting a maximum-severity bug could let attackers run code on the management platform without so much as a login prompt.</p>
<div class="lb-trans"><p>惠普企業公司已告知客户停止手頭的所有工作，並對 OneView 進行補丁，因為該公司承認一個最高嚴重性漏洞可能允許攻擊者在管理平台上運行代碼，而無需登錄提示。</p>
</div><p>The vulnerability, tracked as CVE-2025-37164 and rated a maximum 10.0 on the CVSS scale, affects HPE OneView versions 5.20 through 10.20 and allows unauthenticated remote code execution, according to an advisory published by the company this week. OneView sits at the heart of many enterprise environments, serving as a central control plane for servers, firmware, storage, and lifecycle management.</p>
<div class="lb-trans"><p>根據該公司本週發佈的公告，該漏洞被追蹤為 CVE-2025-37164，並在 CVSS 評分中被評為最高 10.0，影響 HPE OneView 版本 5.20 至 10.20，並允許未經身份驗證的遠程代碼執行。OneView 是許多企業環境的核心，作為服務器、固件、存儲和生命週期管理的中央控制平面。</p>
</div><p>&#34;A potential security vulnerability has been identified in Hewlett Packard Enterprise OneView Software,&#34; HPE said in its advisory. &#34;This vulnerability could be exploited, allowing a remote unauthenticated user to perform remote code execution.&#34;</p>
<div class="lb-trans"><p>惠普企業在其公告中表示：“在惠普企業 OneView 軟件中發現了潛在的安全漏洞。該漏洞可能被利用，允許遠程未經身份驗證的用户執行遠程代碼。”</p>
</div><p>HPE said the issue was reported by security researcher Nguyen Quoc Khanh and is urging customers to either upgrade to OneView 11.0 or apply the emergency hotfix immediately. Separate fixes are available for the OneView virtual appliance and for HPE Synergy deployments.</p>
<div class="lb-trans"><p>惠普企業表示，該問題是由安全研究員阮國慶報告的，並敦促客户立即升級到 OneView 11.0 或應用緊急熱修復。針對 OneView 虛擬設備和 HPE Synergy 部署的單獨修復程序也已提供。</p>
</div><p>Rapid7, which has analyzed the vulnerability and the vendor's hotfix, told <em>The Register</em> that the real danger isn't just code execution, but where it happens. OneView is typically deployed deep inside the network with sweeping privileges and minimal scrutiny, because it's assumed to be trustworthy. An unauthenticated RCE at that layer doesn't just open a door – it hands over the keys to the building.</p>
<div class="lb-trans"><p>Rapid7 分析了該漏洞和供應商的熱修復，告訴 <em>The Register</em>，真正的危險不僅僅是代碼執行，而是發生的地點。OneView 通常被部署在網絡深處，擁有廣泛的權限和最小的審查，因為它被認為是可信的。在該層級的未經身份驗證的遠程代碼執行不僅僅是打開了一扇門——它還交出了建築的鑰匙。</p>
</div><p>In other words, popping OneView could give an attacker centralized control over large chunks of infrastructure at scale, rather than access to a single compromised box. That makes it a far more attractive target than the average edge-facing server bug.</p>
<div class="lb-trans"><p>換句話説，攻陷 OneView 可能使攻擊者能夠集中控制大規模基礎設施的多個部分，而不僅僅是訪問單個被攻陷的設備。這使其成為比普通邊緣服務器漏洞更具吸引力的目標。</p>
</div><ul>
<li>Hyperscalers fuel $112B server spending spree in Q3</li>
<li>HPE's server and hybrid cloud revenue go into reverse amid historical hardware splurge</li>
<li>HPE backs AMD's Helios AI rack with Juniper's scale-up switch</li>
<li>How high-end supercomputer filesystem DAOS can break out of its niche</li>
</ul>
<div class="lb-trans"><ul>
<li>超級雲計算公司在第三季度推動 1120 億美元的服務器支出狂潮</li>
<li>惠普企業的服務器和混合雲收入在歷史硬件狂潮中出現逆轉</li>
<li>惠普企業支持 AMD 的 Helios AI 機架與 Juniper 的擴展交換機</li>
<li>高端超級計算機文件系統 DAOS 如何突破其小眾市場</li>
</ul>
</div><p>Rapid7's initial inspection of the hotfix suggests the vulnerability is tied to a specific REST API endpoint exposed by the appliance. The fix works by blocking access to that endpoint at the web server level, and the firm said it has a high degree of confidence that this endpoint is the primary access vector.</p>
<div class="lb-trans"><p>Rapid7 對熱修復的初步檢查表明，該漏洞與設備暴露的特定 REST API 端點有關。該修復通過在 Web 服務器級別阻止對該端點的訪問來工作，該公司表示對該端點是主要訪問向量的信心很高。</p>
</div><p>HPE has not said whether the flaw is being actively exploited, but history suggests bugs like this don't stay theoretical for long. Highly privileged management platforms are often targeted by ransomware crews and other attackers seeking shortcuts past perimeter defenses.</p>
<div class="lb-trans"><p>惠普企業尚未説明該缺陷是否正在被積極利用，但歷史表明，這類漏洞不會長時間停留在理論階段。高度特權的管理平台通常成為勒索軟件團隊和其他攻擊者的目標，他們尋求繞過邊界防禦的捷徑。</p>
</div><p>For now, if you're running a vulnerable version of OneView, patch or upgrade immediately. Rapid7, meanwhile, suggests defenders treat the issue as an assumed-breach scenario, review network segmentation, and stop treating infrastructure management layers as untouchable. ®</p>
<div class="lb-trans"><p>目前，如果您正在運行易受攻擊的 OneView 版本，請立即進行補丁或升級。與此同時，Rapid7 建議防禦者將此問題視為假設入侵場景，審查網絡分段，並停止將基礎設施管理層視為不可觸碰。®</p>
</div>

Hewlett Packard Enterprise 告知客户要迅速修補，因為 OneView 遠程代碼執行漏洞得到了滿分 10 分