In der Software Hewlett Packard Enterprise OneView wurden drei Sicherheitslücken identifiziert, die potenziell aus der Ferne ausgenutzt werden können, um die Authentifizierung zu umgehen, sensible Informationen offenzulegen und einen Denial-of-Service (DoS)-Angriff durchzuführen.

HPE OneView im Überblick

HPE OneView ist eine integrierte IT-Infrastrukturmanagement-Software, die IT-Betriebsabläufe automatisiert und das Management des gesamten Lebenszyklus der Infrastruktur optimiert, einschließlich Berechnung, Speicherung und Netzwerke.

Offenlegung der Schwachstellen

  • CVE-2023-30908 – Umgehung der Remote-Authentifizierung
  • CVE-2022-4304 – Offenlegung sensibler Informationen
  • CVE-2023-2650 – Denial-of-Service

CVE-2023-30908 – Umgehung der Remote-Authentifizierung

Diese Schwachstelle mit einem CVSS-Score von 9.8 ermöglicht es einem Angreifer, die Authentifizierung zu umgehen und unbefugten Zugriff auf HPE OneView zu erhalten. Die Schwachstelle ist auf die Art und Weise zurückzuführen, wie HPE OneView Benutzeranmeldeinformationen verwaltet. Ein Angreifer könnte dies ausnutzen, indem er dem HPE OneView-Server eine speziell präparierte Anfrage sendet.

Die Schwachstelle CVE-2023-30908 wurde von Sina Kheirkhah (@SinSinology) vom Summoning Team (@SummoningTeam) in Zusammenarbeit mit der Trend Micro Zero Day Initiative gemeldet.

CVE-2022-4304 – Offenlegung sensibler Informationen

Ein zeitbasiertes Seitkanal in der RSA-Decodierungsimplementierung in OpenSSL kann es einem entfernten Angreifer ermöglichen, sensible Informationen zu erhalten. Ein Angreifer könnte dies ausnutzen, indem er eine übermäßig große Anzahl von Testnachrichten zur Entschlüsselung sendet.

CVE-2023-2650 – Denial-of-Service (DoS)

Ein entfernter Angreifer könnte diese Schwachstelle ausnutzen, um einen Denial-of-Service-Angriff auf HPE OneView durchzuführen. Die Schwachstelle betrifft die Art und Weise, wie OpenSSL die Methode OBJ_obj2txt() behandelt. Ein Angreifer könnte dies ausnutzen, indem er eine speziell präparierte Anfrage an den HPE OneView-Server sendet.

Betroffene Versionen

Die Schwachstellen betreffen HPE OneView vor Version 8.5 und v6.60.05 Patch.

Verfügbare Fixes

Um diese Schwachstellen in Hewlett Packard Enterprise OneView Version 8.5 und im 6.60.05-Patch zu beheben, hat HPE folgendes Software-Upgrade veröffentlicht:

  • Hewlett Packard Enterprise OneView v8.5 oder neuer
  • Hewlett Packard Enterprise OneView v6.60.05 LTS

Benutzer können das neueste Software-Upgrade im HPE Support Center herunterladen. HPE hat Fixes für die betroffenen HPE OneView-Versionen veröffentlicht. Um Systeme vor diesen Schwachstellen zu schützen, sollten Benutzer die Updates so bald wie möglich anwenden.