CVE-2025-37164

HPE OneView contiene una falla de ejecución remota de código que permite a un atacante ejecutar código arbitrario en la plataforma de gestión. El aviso de HPE es escueto en cuanto al mecanismo, pero el perfil CVSS —accesible por red, sin privilegios, sin interacción del usuario, con un cambio de alcance (scope change)— indica que una solicitud no autenticada contra la interfaz de OneView conduce a la ejecución de código más allá del componente comprometido inicialmente.

OneView es software de gestión de infraestructura: aprovisiona, monitorea y controla servidores, almacenamiento y redes en un centro de datos, así que alberga credenciales privilegiadas y el mando sobre una gran flota de hardware. Por lo tanto, la ejecución de código en el appliance de OneView no es un problema de un solo host sino una palanca sobre todo lo que gestiona, exactamente el tipo de plano de control centralizado que un atacante más desea. Aplica la versión corregida de HPE con prontitud y mantén la interfaz de gestión de OneView confinada a una red administrativa aislada sin exposición a Internet, siguiendo la propia orientación de HPE de segregar el tráfico de gestión. Dada la severidad y el alcance de la plataforma, rota las credenciales que OneView usa para alcanzar los sistemas gestionados si se sospecha exposición, y restringe el acceso administrativo a un conjunto mínimo de hosts de confianza.