Hewlett Packard Enterprise (HPE) OneView のコードインジェクションの脆弱性（CVE-2025-37164）

何が起きた

サーバーなどの機器をまとめて管理するソフト HPE OneView に、外から送られたデータをプログラムとして実行してしまう弱点（コードインジェクション）が見つかり、実際に悪用が確認されています。ログイン不要で、ネットワーク経由で離れた場所から、任意のコードを実行されるおそれがあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

HPE OneView を使っている組織が対象です。HPE の勧告では、v10.20 までのすべてのバージョンが影響を受けます。HPE Synergy Composer にも専用の修正プログラムが用意されています。

何をすればいい

HPE OneView を v11.00 以降に更新してください。すぐに更新できない場合、5.20 から 10.20 では HPE のホットフィックスを適用できます。ホットフィックスは、以前に入れていても最新のものを適用し直す必要があります。HPE Synergy Composer は、再イメージ化、バックアップの復元、工場出荷時の状態へのリセットのあとに、もう一度適用してください。公式の案内（HPE の勧告 HPESBGN04985）を確認してください。

やることチェックリスト

• HPE OneView を v11.00以降に更新する
• 更新できなければ最新のホットフィックスを適用する
• Synergy Composer は復元後に再適用する

用語メモ

コードインジェクション

外から送ったデータを、プログラムの命令として実行させてしまう攻撃や弱点のことです。

任意のコード

攻撃者が好きに選んだプログラムや命令のことです。

ホットフィックス

大きな更新を待たずに、特定の問題だけを急いで直すための修正プログラムです。