CVE-2025-37164
Hewlett Packard Enterprise (HPE) OneView Code Injection Vulnerability
Beschreibung
CVE-2025-37164 ist eine kritische Remote-Code-Execution-Schwachstelle (CVSS 10.0 CRITICAL) in HPE OneView, der Infrastruktur-Management-Plattform von Hewlett Packard Enterprise. Die Schwachstelle ermöglicht es einem nicht authentifizierten, entfernten Angreifer, beliebigen Code auf dem System auszuführen, und weist den höchstmöglichen CVSS-Score auf. Sie wurde in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, und es existiert ein öffentlicher Metasploit-Exploit. Der EPSS-Wert von 86,426 % (99,4. Perzentil) bestätigt die extrem hohe Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| hpe | oneview | <= 10.20.00 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbgn04985en_us&docLocale=en_US(Vendor Advisory)
- https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/linux/http/hpe_oneview_rce.rb(Exploit)
- https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbgn04985en_us&docLocale=en_US#vulnerability-summary-1(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-37164(US Government Resource)
Schwachstellentyp
CWE-94: Improper Control of Generation of Code (Code Injection)
CWE-94 beschreibt Schwachstellen, bei denen eine Anwendung extern beeinflusste Eingaben in generierten oder interpretierten Code einbaut, ohne diese ausreichend zu validieren. Bei CVE-2025-37164 können Angreifer über das Netzwerk speziell gestaltete Anfragen an HPE OneView senden, die zur Ausführung beliebigen Codes auf dem Zielsystem führen. Da weder Authentifizierung noch Benutzerinteraktion erforderlich sind und der Angriff Auswirkungen über die Systemgrenzen hinaus hat (Scope: Changed), erreicht diese Schwachstelle den maximalen CVSS-Score. Mehr erfahren
Auswirkungsanalyse
CVE-2025-37164 stellt mit einem CVSS-Score von 10.0 die schwerwiegendste Kategorie von Schwachstellen dar. Vertraulichkeit (C:H), Integrität (I:H) und Verfügbarkeit (A:H) sind jeweils maximal betroffen, was bedeutet, dass ein Angreifer die vollständige Kontrolle über das kompromittierte System erlangen kann. Besonders kritisch ist der Scope-Wert "Changed" (S:C), der anzeigt, dass ein erfolgreicher Angriff Auswirkungen über das unmittelbar betroffene System hinaus haben kann -- dies betrifft die gesamte von HPE OneView verwaltete Infrastruktur. Da HPE OneView zur zentralen Verwaltung von Servern, Speicher und Netzwerk-Ressourcen eingesetzt wird, kann eine Kompromittierung den Zugriff auf die gesamte Rechenzentrumsinfrastruktur ermöglichen. Der Angriffsvektor erfordert keinerlei Authentifizierung (PR:N), keine Benutzerinteraktion (UI:N) und ist technisch einfach auszunutzen (AC:L). Der EPSS-Wert von 86,426 % (99,4. Perzentil) gehört zu den höchsten überhaupt beobachteten Werten. Die Aufnahme in den KEV-Katalog mit Frist zum 28. Januar 2026 bestätigt aktive Ausnutzung. Der Ransomware-Status ist als "Unknown" eingestuft.
Exploit-Reifegrad
Die Exploit-Reife für CVE-2025-37164 ist maximal. Ein vollständig funktionsfähiger Exploit ist als Metasploit-Modul öffentlich verfügbar, was eine automatisierte Ausnutzung mit Standard-Pentesting-Werkzeugen ermöglicht. Die Schwachstelle ist im CISA KEV-Katalog mit Behebungsfrist bis zum 28. Januar 2026 gelistet und wird aktiv ausgenutzt. Der EPSS-Wert von 86,426 % (99,4. Perzentil) ist einer der höchsten registrierten Werte und zeigt eine fast sichere Ausnutzung für exponierte Systeme. HPE hat ein Security Bulletin mit Informationen und Patches veröffentlicht. Der Ransomware-Zusammenhang ist als "Unknown" eingestuft, jedoch macht der vollständige Systemzugriff eine Ransomware-Nutzung wahrscheinlich.
Behebung
- HPE OneView sofort aktualisieren -- Aktualisieren Sie HPE OneView auf eine Version nach 10.20.00, die den Patch enthält. Konsultieren Sie das HPE Security Bulletin für die genaue gepatchte Version.
- Netzwerkisolation umsetzen -- Stellen Sie sicher, dass HPE OneView nicht direkt aus dem Internet erreichbar ist. Platzieren Sie die Management-Plattform in einem dedizierten, streng segmentierten Management-Netzwerk.
- Sofortige Kompromittierungsprüfung -- Angesichts des öffentlichen Metasploit-Exploits und der aktiven Ausnutzung sollten alle HPE OneView-Instanzen auf Anzeichen einer bestehenden Kompromittierung forensisch untersucht werden.
- Verwaltete Infrastruktur überprüfen -- Da HPE OneView zentral Server, Speicher und Netzwerk verwaltet, muss bei einem Verdacht auf Kompromittierung die gesamte verwaltete Infrastruktur auf unautorisierte Änderungen geprüft werden.
- Zugangskontrollen verschärfen -- Implementieren Sie zusätzliche Netzwerk-Zugriffskontrollen wie VPN-Pflicht und IP-Whitelisting für alle Management-Interfaces.
Technische Details
Der CVSS v3.1-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H ergibt den maximalen Score von 10.0 (CRITICAL). Angriffsvektor (AV:N): Die Schwachstelle ist über das Netzwerk ausnutzbar. Angriffskomplexität (AC:L): Die Ausnutzung erfordert keine speziellen Voraussetzungen. Erforderliche Privilegien (PR:N): Keine Authentifizierung ist notwendig. Benutzerinteraktion (UI:N): Kein Benutzer muss mitwirken. Scope (S:C): Der Angriff kann Auswirkungen über die betroffene Komponente hinaus haben, was bei einer Infrastruktur-Management-Plattform besonders kritisch ist. HPE OneView ist eine zentrale Verwaltungsplattform für Rechenzentrums-Infrastruktur (Server, Storage, Netzwerk). Die Code-Injection-Schwachstelle in der Webanwendung ermöglicht es Angreifern, ohne jegliche Authentifizierung speziell gestaltete HTTP-Anfragen zu senden, die serverseitig als Code interpretiert und ausgeführt werden. Das Metasploit-Modul zeigt, dass der Angriff vollständig automatisierbar ist. Alle HPE OneView-Versionen bis einschließlich 10.20.00 sind betroffen.
Häufig gestellte Fragen
Was ist CVE-2025-37164?
CVE-2025-37164 ist eine kritische Remote-Code-Execution-Schwachstelle in HPE OneView mit dem maximalen CVSS-Score von 10.0. Sie ermöglicht es nicht authentifizierten Angreifern, über das Netzwerk beliebigen Code auf dem Management-Server auszuführen.
Warum hat diese Schwachstelle den CVSS-Score 10.0?
Der maximale Score ergibt sich aus der Kombination aller schwerwiegendsten Faktoren: keine Authentifizierung erforderlich, keine Benutzerinteraktion nötig, einfache Ausnutzung über das Netzwerk und Auswirkungen über das unmittelbare System hinaus (Scope: Changed) bei vollständiger Kompromittierung aller drei Sicherheitsdimensionen.
Gibt es öffentliche Exploits für CVE-2025-37164?
Ja, es existiert ein vollständig funktionsfähiges Metasploit-Modul, das die automatisierte Ausnutzung der Schwachstelle ermöglicht. Dies senkt die Hürde für Angreifer erheblich und macht ein sofortiges Patching unerlässlich.
Welche HPE OneView-Versionen sind betroffen?
Alle HPE OneView-Versionen bis einschließlich 10.20.00 sind betroffen. HPE hat ein Security Bulletin mit Informationen zur gepatchten Version veröffentlicht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.