Uočena je značajna bezbjednosna ranjivost u HPE OneView for VMware vCenter (OV4VC) platformi, koja bi mogla omogućiti napadačima s ograničenim pristupom da steknu administratorske privilegije.
Ova ranjivost, označena kao CVE-2025-37101, pogađa sve verzije softvera prije verzije 11.7 i ima visoku ocjenu kritičnosti prema CVSS sistemu od 8.7, što ukazuje na značajan rizik za korporativna okruženja.
**Sažetak**
1. HPE OneView for VMware vCenter posjeduje grešku koja omogućava eskalaciju privilegija (CVE-2025-37101), dozvoljavajući korisnicima sa samo privilegijom čitanja da dobiju administratorski pristup.
2. Greška utiče na sve verzije prije v11.7, ugrožavajući cjelovitost i dostupnost sistema.
3. Sve implementacije HPE OneView koje koriste Operations Manager i Log Insight podložne su neovlašćenom pristupu.
4. Odmah izvršite nadogradnju na verziju 11.7 ili noviju iz My HPE Software Center kako biste otklonili bezbjednosni rizik.
**Greška vertikalne eskalacije privilegija**
Sigurnosna greška omogućava ono što stručnjaci za sajberbezbjednost nazivaju “vertikalnom eskalacijom privilegija”, gdje napadač koji posjeduje samo privilegije čitanja može iskoristiti ranjivost za izvršavanje administrativnih radnji koje su obično rezervisane za korisnike sa povišenim ovlastima.
Prema HPE-ovom timu za odgovor na sigurnosne probleme, ovu ranjivost bi mogli iskoristiti zlonamjerni akteri koji su već ostvarili početni pristup sistemu sa ograničenim privilegijama.
Ranjivost je klasifikovana prema CVSS verziji 3.1 sa vektorskim nizom CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:N/I:H/A:H. Ova tehnička notacija ukazuje na to da se napad može izvršiti preko mreže sa niskom složenošću, zahtijeva niske nivoe privilegija i uključuje interakciju korisnika, dok potencijalno može prouzrokovati visok uticaj na integritet i dostupnost pogođenih sistema.
Ranjivost specifično cilja HPE OneView for VMware vCenter sa komponentama Operations Manager i Log Insight, što je posebno zabrinjavajuće za preduzeća koja se oslanjaju na HPE-ova rješenja za upravljanje infrastrukturom. Mogućnost da operateri vrše administrativne radnje putem eskalacije privilegija predstavlja značajne sigurnosne rizike, potencijalno dozvoljavajući neovlaštene promjene konfiguracije, pristup podacima ili poremećaj sistema.
Korporativni sigurnosni timovi bi trebali biti posebno zabrinuti zbog ove ranjivosti s obzirom na njenu osnovnu CVSS ocjenu od 8.7, koja je svrstava u kategoriju “Visoke” kritičnosti.
| Faktori rizika | Detalji |
|—|—|
| Pogođeni proizvodi | HPE OneView for VMware vCenter sa Operations Manager i Log Insight – Sve verzije prije v11.7 |
| Uticaj | Lokalna eskalacija privilegija |
| Preduvjeti za iskorištavanje | – Mrežni pristup sistemu
– Nisk nivo privilegija (samo čitanje)
– Potrebna interakcija korisnika
– Niska složenost napada |
| CVSS 3.1 ocjena | 8.7 (Visoka) |
**Dostupan je zakrpa**
HPE je objavio sveobuhvatno rješenje za ovaj sigurnosni problem putem HPE OneView for VMware vCenter v11.7, koje rješava ranjivost eskalacije privilegija. Organizacije koje trenutno koriste pogođene verzije trebaju dati prioritet nadogradnji na ovo najnovije izdanje, dostupno putem portala My HPE Software Center. IT administratori bi trebali odmah implementirati zakrpu kako bi spriječili potencijalno iskorištavanje ove ranjivosti u produkcijskim okruženjima. Sigurnosni stručnjaci preporučuju da organizacije provjere svoje trenutne implementacije HPE OneView i ubrzaju proces nadogradnje, posebno u okruženjima gdje više korisnika ima različite nivoe pristupa sistemu.
Pratite naše objave na mreži X kako biste dobili najnovija upozorenja o bezbjednosnim propustima i trendovima u sajberbezbjednosti.
Ova ranjivost u HPE OneView for VMware vCenter platformi omogućava korisnicima sa samo pravima čitanja da iskoriste slabosti sistema i dobiju administratorski pristup. Greška, označena kao CVE-2025-37101, utiče na sve verzije prije izdanja 11.7 i nosi ocjenu kritičnosti 8.7 prema CVSS sistemu, što ukazuje na značajan rizik. Napadači mogu iskoristiti ovu grešku kako bi izvršili neovlaštene radnje, uključujući izmjene konfiguracije, pristup osjetljivim podacima ili čak ometanje rada sistema. Kompanija Hewlett-Packard Enterprise je objavila ispravku, verziju 11.7, koja je dostupna putem My HPE Software Center. Preporučuje se hitna nadogradnja kako bi se spriječile potencijalne zloupotrebe.
