HPE phát hành bản vá bảo mật khẩn cấp cho lỗ hổng nghiêm trọng trên StoreOnce

[WhiteHat Team]

Hewlett Packard Enterprise (HPE) vừa công bố bản cập nhật khẩn cấp nhằm khắc phục 8 lỗ hổng nghiêm trọng trong giải pháp StoreOnce. Các lỗ hổng này có thể bị khai thác từ xa, dẫn đến việc vượt qua cơ chế xác thực, thực thi mã độc, tiết lộ thông tin nhạy cảm và các hành vi truy cập trái phép khác.

StoreOnce trong hệ sinh thái của Hewlett Packard Enterprise (HPE) là một giải pháp sao lưu và xử lý data deduplication thông minh, được thiết kế để bảo vệ dữ liệu doanh nghiệp bằng cách tối ưu hóa dung lượng lưu trữ, tăng tốc quá trình sao lưu và khôi phục, đồng thời giảm chi phí lưu trữ.

​

Theo khuyến cáo của HPE, các lỗ hổng có thể bị khai thác từ xa để:

• Thực thi mã từ xa
• Vượt qua xác thực
• Tiết lộ thông tin
• Tấn công giả mạo yêu cầu phía máy chủ
• Xóa tệp tùy ý
• Truy xuất dữ liệu trái phép qua thư mục

Đặc biệt, lỗ hổng nghiêm trọng nhất được theo dõi với mã CVE-2025-37093 có điểm CVSS lên tới 9,8. Đây là lỗ hổng vượt qua xác thực, ảnh hưởng đến tất cả các phiên bản phần mềm StoreOnce trước phiên bản 4.3.11. Lỗ hổng được phát hiện và báo cáo cho HPE vào ngày 31/10/2024 bởi một nhà nghiên cứu ẩn danh thông qua chương trình Zero Day Initiative (ZDI).

ZDI cho biết lỗ hổng xuất phát từ việc triển khai sai thuật toán xác thực trong hàm machineAccountCheck. Tin tặc có thể khai thác điểm yếu này để bỏ qua cơ chế xác thực hệ thống, từ đó kết hợp với các lỗ hổng khác để chiếm quyền điều khiển hệ thống ở cấp độ root.

Danh sách lỗ hổng bao gồm:

• CVE-2025-37089 - Thực thi mã từ xa
• CVE-2025-37090 - Tấn công SSRF
• CVE-2025-37091 - Thực thi mã từ xa
• CVE-2025-37092 - Thực thi mã từ xa
• CVE-2025-37093 - Vượt qua xác thực (nghiêm trọng nhất)
• CVE-2025-37094 - Xóa tệp tùy ý qua Directory Traversal
• CVE-2025-37095 - Tiết lộ thông tin qua Directory Traversal
• CVE-2025-37096 - Thực thi mã từ xa

Bên cạnh StoreOnce, HPE cũng đã phát hành bản vá cho các lỗ hổng nghiêm trọng khác trong 2 sản phẩm: HPE Telco Service Orchestrator (CVE-2025-31651, điểm CVSS 9,8) và HPE OneView (CVE-2024-38475, CVE-2024-38476, cùng điểm CVSS 9,8). Các bản vá này nhằm khắc phục các lỗ hổng được phát hiện trước đó trong Apache Tomcat và Apache HTTP Server.

Hiện chưa có dấu hiệu cho thấy các lỗ hổng này đang bị khai thác trong thực tế. Tuy nhiên, HPE khuyến cáo người dùng và doanh nghiệp nên nhanh chóng cập nhật phần mềm để đảm bảo an toàn hệ thống và phòng tránh các rủi ro bảo mật nghiêm trọng.

Theo The Hacker News​