HPE OneView dasturida kritik zaiflik: tarmoq orqali to‘liq tizim egallanishi mumkin

Korporativ infratuzilmani boshqarish uchun keng qo‘llaniladigan HPE OneView dasturida o‘ta xavfli kiberxavfsizlik zaifligi aniqlandi. Ushbu nuqson masofadan turib, hech qanday autentifikatsiyasiz, tizimda ixtiyoriy kodni ishga tushirish (Remote Code Execution – RCE) imkonini beradi. Mutaxassislar mazkur zaiflikni eng yuqori darajadagi tahdid sifatida baholamoqda.

Zaiflik tafsilotlari va xavf darajasi

Aniqlangan muammo CVE-2025-37164 identifikatori bilan ro‘yxatga olingan bo‘lib, unga CVSS 10.0 (Critical) ball berilgan. Bu — kiberxavfsizlik baholash tizimidagi eng yuqori xavf darajasi hisoblanadi.

Zaiflikning eng xavfli jihati shundaki:

  • hujum tarmoq orqali (Network) amalga oshiriladi;
  • foydalanuvchi aralashuvi talab etilmaydi;
  • login yoki maxsus huquqlar kerak emas;
  • hujumni bajarish texnik jihatdan murakkab emas.

Natijada tajovuzkorlar OneView serverini to‘liq egallab, ma’lumotlarni o‘zgartirishi, o‘chirishi yoki butun infratuzilmani izdan chiqarishi mumkin.

Qaysi tizimlar xavf ostida?

Mazkur zaiflik HPE OneView’ning 11.00 versiyasidan oldingi barcha nashrlariga ta’sir ko‘rsatadi. Jumladan, ishlab chiqarish muhitida keng tarqalgan 5.20 dan 10.20 gacha bo‘lgan versiyalar ham xavf ostida hisoblanadi.

HPE’ning rasmiy xavfsizlik byulleteniga (HPESBGN04985) ko‘ra, zaiflik 2025-yil 16-dekabr kuni xavfsizlik tadqiqotchisi Nguyen Quoc Khanh (brocked200) tomonidan mas’uliyatli tarzda xabar qilingan. Hozircha ushbu zaiflik ommaviy hujumlarda faol qo‘llanilayotgani tasdiqlanmagan bo‘lsa-da, ekspluatatsiya qilish osonligi uni juda jozibador nishonga aylantiradi.

Nega bu zaiflik juda xavfli?

HPE OneView odatda:

  • serverlar,
  • storage tizimlari,
  • tarmoq komponentlari,
  • virtualizatsiya va kompozitsion infratuzilmani

markazlashgan holda boshqarish uchun ishlatiladi. Shu sababli OneView’ga muvaffaqiyatli hujum — bu butun ma’lumotlar markaziga kirish eshigi ochilishi degani.

Bunday RCE zaifliklar ko‘pincha:

  • ichki tarmoqqa chuqur kirib borish,
  • lateral harakat (lateral movement),
  • ransomware joylashtirish,
  • butun biznes jarayonlarini to‘xtatish

uchun foydalaniladi.

Himoya va tavsiyalar

HPE barcha foydalanuvchilarga zudlik bilan choralar ko‘rishni qat’iy tavsiya qiladi:

Asosiy yechimlar

  • HPE OneView 11.00 yoki undan yuqori versiyaga yangilash (My HPE Software Center orqali).
  • 5.20–10.20 versiyalar uchun maxsus xavfsizlik hotfix’ini qo‘llash.

Muhim eslatma: ayrim versiyalarda (masalan, 6.60.xx → 7.00.00 yangilanishida yoki Synergy Composer reimage jarayonida) hotfix’ni qayta o‘rnatish talab etiladi.

Vaqtinchalik choralar (agar darhol yangilash imkoni bo‘lmasa)

  • OneView serverlarini tarmoq segmentatsiyasi orqali cheklash;
  • faqat ishonchli IP manzillardan kirishga ruxsat berish;
  • loglar va tarmoq trafikini doimiy monitoring qilish;
  • shubhali faollik aniqlansa, zudlik bilan tekshiruv o‘tkazish.

HPE OneView’dagi CVE-2025-37164 zaifligi yana bir bor shuni ko‘rsatadiki, infratuzilmani boshqaruvchi tizimlar kiberxavfsizlik nuqtai nazaridan eng muhim va eng xavfli nuqtalar hisoblanadi. Bitta boshqaruv komponentidagi zaiflik butun tashkilot infratuzilmasini xavf ostiga qo‘yishi mumkin.

Shu sababli, bunday tizimlar uchun yangilanishlarni kechiktirmaslik, xavfsizlik siyosatini qat’iy yuritish va doimiy audit o‘tkazish — bugungi kunda tanlov emas, balki zaruratdir.