OneView là phần mềm quản lý cơ sở hạ tầng của HPE, giúp các quản trị viên công nghệ thông tin tối ưu hoạt động và tự động hóa việc quản lý máy chủ, thiết bị lưu trữ và thiết bị mạng từ một giao diện tập trung.
Với mã định danh CVE-2025-37164, lỗ hổng nghiêm trọng này được nhà nghiên cứu bảo mật đến từ Việt Nam là Nguyễn Quốc Khánh (brocked200) phát hiện và báo cáo.
Theo đó, CVE-2025-37164 ảnh hưởng đến tất cả các phiên bản OneView được phát hành trước phiên bản v11.00, có thể bị các tác nhân đe dọa không được xác thực khai thác trong các cuộc tấn công chèn mã có độ phức tạp thấp, từ đó giành quyền thực thi mã từ xa trên các hệ thống chưa được vá lỗi.
“Một lỗ hổng bảo mật tiềm ẩn đã được phát hiện trong phần mềm HPE OneView. Lỗ hổng này có thể bị khai thác, cho phép người dùng từ xa thực thi mã tùy ý”, HPE cảnh báo vào ngày 16/12.
Hiện chưa có giải pháp khắc phục hay biện pháp giảm thiểu nào cho lỗ hổng CVE-2025-37164, vì vậy các quản trị viên nên vá các hệ thống dễ bị tổn thương càng sớm càng tốt.
HPE vẫn chưa xác nhận liệu lỗ hổng này có phải là mục tiêu của các cuộc tấn công hay không, đồng thời cho biết các tổ chức bị ảnh hưởng có thể nâng cấp lên phiên bản OneView 11.00 trở lên, có sẵn thông qua HPE's Software Center để vá lỗi. Đối với các thiết bị chạy phiên bản OneView từ 5.20 đến 10.20, lỗ hổng có thể được khắc phục bằng cách triển khai bản vá bảo mật.
Trước đó vào tháng 6/2025, HPE đã vá tám lỗ hổng trong StoreOnce, giải pháp sao lưu dữ liệu dựa trên ổ đĩa của hãng, bao gồm một lỗ hổng vượt qua xác thực mức độ nghiêm trọng và ba lỗ hổng thực thi mã từ xa.
Một tháng sau, hãng đưa ra cảnh báo về thông tin đăng nhập được mã hóa cứng trong các điểm truy cập Aruba Instant On, có thể cho phép kẻ tấn công truy cập giao diện web sau khi vượt qua xác thực thiết bị tiêu chuẩn.
