HPE IStoreOnce の８件の脆弱性が FIX：認証バイパスや RCE の恐れ

HPE Issues Security Patch for StoreOnce Bug Allowing Remote Authentication Bypass

2025/06/04 TheHackerNews — Hewlett Packard Enterprise (HPE) が公表したのは、StoreOnce のデータ・バックアップ／重複排除のソリューションに存在する、認証バイパスやリモート・コード実行の可能性を引き起こす、８件の脆弱性に対処するためのセキュリティ・アップデートのリリースである。

HPE のアドバイザリには、「これらの脆弱性がリモートから悪用され、リモートコード実行／情報漏洩／SSRF／認証バイパス／任意のファイル削除／ディレクトリ・トラバーサルなどが引き起こされ、情報漏洩の脆弱性にいたる恐れがある」と記されている。

その中でも、最も深刻な脆弱性は、CVE-2025-37093 (CVSS：9.8) である。この脆弱性は、バージョン 4.3.11 未満に影響を及ぼす、認証バイパスのバグとして説明されている。この脆弱性は、2024年10月31日の時点で、HPE へ報告されている。

Zero Day Initiative (ZDI) によると、この脆弱性を発見／報告したのは匿名の研究者であり、machineAccountCheck メソッドの実装に起因すると、述べているとのことだ。

ZDI は、「この問題は、認証アルゴリズムの不適切な実装に起因する。この脆弱性を悪用する攻撃者は、システムの認証をバイパスしていく」と述べている。

この脆弱性を、さらに深刻にするのは、他の脆弱性との連鎖により、ルート権限でのコード実行／情報漏洩／任意のファイル削除といったアクションにいたることである。

  • CVE-2025-37089 – Remote Code Execution
  • CVE-2025-37090 – Server-Side Request Forgery
  • CVE-2025-37091 – Remote Code Execution
  • CVE-2025-37092 – Remote Code Execution
  • CVE-2025-37093 – Authentication Bypass
  • CVE-2025-37094 – Directory Traversal Arbitrary File Deletion
  • CVE-2025-37095 – Directory Traversal Information Disclosure
  • CVE-2025-37096 – Remote Code Execution

すでに HPE は、複数の深刻な脆弱性に対処する、パッチをリリースしている：

現時点において、悪用の事例は報告されていないという。ユーザーに強く推奨されるのは、最新バージョンへの速やかなアップデートにより、最適な保護を達成することだ。

HPE の StoreOnce に存在する、複数の脆弱性が修正されました。認証バイパスやリモートコード実行といった深刻なリスクに対しては、早急な対応が必要だと感じます。よろしければ、HPE で検索も、ご参照ください。