Hewlett Packard (HPE) Bug zero-day critico nel software di gestione dei server

Hewlett Packard Enterprise (HPE) ha rivelato un bug zero-day nelle ultime versioni del suo software proprietario HPE Systems Insight Manager (SIM) per Windows e Linux. Sebbene gli aggiornamenti di sicurezza non siano ancora disponibili per questa vulnerabilità di esecuzione di codice in modalità remota (RCE), HPE ha fornito informazioni sulla mitigazione di Windows e sta lavorando per affrontare lo zero-day.

HPE SIM è una soluzione di automazione per la gestione e il supporto remoto per più server, storage e prodotti di rete HPE, inclusi ma non limitati ai server HPE ProLiant Gen10 e HPE ProLiant Gen9. La vulnerabilità, segnalata da Harrison Neal tramite Zero Day Initiative di Trend Micro, viene rilevata come CVE-2020-7200 e interessa HPE Systems Insight Manager (SIM) 7.6.x.

CVE-2020-7200 è stato valutato da HPE come un difetto di sicurezza di gravità critica (9,8 / 10) che consente agli aggressori senza privilegi di sfruttarlo come parte di attacchi a bassa complessità che non richiedono l’interazione dell’utente.

“Una correzione completa che previene la vulnerabilità legata all’esecuzione di codice in modalità remota sarà resa disponibile in una versione futura”, si legge nell’avviso di sicurezza .

Gli amministratori di sistema che utilizzano il software di gestione HPE SIM devono utilizzare la seguente procedura per bloccare gli attacchi CVE-2020-7200:

1. Stop HPE SIM Service
2. Delete <C:\Program Files\HP\Systems Insight Manager\jboss\server\hpsim\deploy\simsearch.war> file from sim installed path del /Q /F C:\Program Files\HP\Systems Insight Manager\jboss\server\hpsim\deploy\simsearch.war
3. Restart HPE SIM Service
4. Wait for HPE SIM web page “https://SIM_IP:50000” to be accessible and execute the following command from command prompt. mxtool -r -f tools\multi-cms-search.xml 1>nul 2>nul