Otkrivena je značajna sigurnosna ranjivost u platformi Hewlett-Packard Enterprise OneView for VMware vCenter (OV4VC) koja bi mogla omogućiti napadačima sa ograničenim pristupom da eskaliraju svoje privilegije do administratorskih nivoa.
Ova ranjivost, pod oznakom CVE-2025-37101, pogađa sve verzije softvera prije verzije 11.7 i posjeduje visok CVSS rejting kritičnosti od 8.7, što ukazuje na značajan rizik za korporativna okruženja.
Ova softverska mana omogućava takozvanu “vertikalnu eskalaciju privilegija”, gdje napadač koji posjeduje samo dozvole za samo čitanje može iskoristiti ranjivost za izvršavanje administratorskih radnji koje su inače rezervisane za korisnike sa povišenim ovlastima. Prema timu za odgovor na sigurnosne probleme kompanije HPE, ovu ranjivost bi mogli iskoristiti zlonamjerni akteri koji su već stekli početni pristup sistemu s ograničenim ovlastima.
Ranjivost je klasificirana prema sistemu Common Vulnerability Scoring System (CVSS) verziji 3.1 sa vektorskim nizom CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:N/I:H/A:H. Ova tehnička oznaka sugeriše da se napad može izvršiti preko mreže s niskom složenošću, zahtijeva niske ovlasti i uključuje interakciju korisnika, dok potencijalno može prouzrokovati visok utjecaj na integritet i dostupnost pogođenih sistema.
Ranjivost je ciljana specifično na HPE OneView for VMware vCenter sa komponentama Operations Manager i Log Insight, što je posebno zabrinjavajuće za preduzeća koja se oslanjaju na HPE-ova rješenja za upravljanje infrastrukturom. Mogućnost da operateri vrše administratorske akcije putem eskalacije privilegija predstavlja značajne sigurnosne rizike, potencijalno dopuštajući neovlaštene promjene konfiguracije, pristup podacima ili poremećaj sistema. Korporativni sigurnosni timovi bi trebali biti posebno zabrinuti ovom ranjivošću s obzirom na njen CVSS osnovni rezultat od 8.7, koji je svrstava u kategoriju “Visoka” kritičnost.
HPE je objavio sveobuhvatno rješenje za ovaj sigurnosni problem putem verzije HPE OneView for VMware vCenter v11.7, koja rješava ranjivost eskalacije privilegija. Organizacije koje trenutno koriste pogođene verzije bi trebale dati prioritet ažuriranju na ovo najnovije izdanje, dostupno putem portala My HPE Software Center. IT administratori bi trebali odmah implementirati ovo rješenje kako bi spriječili potencijalno iskorištavanje ove ranjivosti u produkcijskim okruženjima. Sigurnosni stručnjaci preporučuju da organizacije provjere svoje trenutne implementacije HPE OneView i ubrzaju proces ažuriranja, posebno u okruženjima gdje više korisnika ima različite nivoe pristupa sistemu.
