1. セキュリティ対策ラボ
  2. セキュリティニュース
  3. 情報セキュリティ
  4. HPE OneViewに未認証RCEの脆弱性（CVE-2025-37164）

HPE OneViewに未認証RCEの脆弱性（CVE-2025-37164）

セキュリティニュース

投稿日時: 更新日時:

HPE OneViewに未認証RCEの脆弱性（CVE-2025-37164）

HPE（Hewlett Packard Enterprise）は、インフラ管理製品 HPE OneView において、未認証でリモートから任意コード実行（RCE）が可能となる脆弱性 CVE-2025-37164（CVSS 10.0）に関する情報を公表しました。

脆弱性の影響を受けるバージョン

本脆弱性（CVE-2025-37164）の影響を受けるのは、HPE OneView 11.0 未満のバージョンです。
OneViewは管理系コンポーネントとして導入されるケースが多く、ネットワーク設計次第では外部から到達可能な状態になっている環境も存在します。その場合、認証不要でリモートコード実行が可能になるリスクがあり、影響は極めて重大です。

対策バージョン（修正済みバージョン）

本脆弱性は、HPE OneView 11.0 以降で修正されています。
HPEは当該エンドポイントへの不正アクセスを遮断する修正を行っており、正式な対策はアップグレードによる対応となります。

想定される影響

未認証RCEが成立した場合、OneViewの稼働権限で任意コマンド実行に至ります。OneViewはサーバ／シャーシ／ネットワークなどの管理面に接続されることが多く、踏み台化すると管理ネットワーク側へ被害が波及するリスクがあります。特に、管理系がインターネット到達可能、またはDMZから到達可能な設計になっている場合、優先度は最上位になります。

関連記事

HPEのJuniper Networksを約140億ドル（約2兆230億円）で買収HPE、Juniper Networksを約140億ドル（約2兆230億円）で買収 Tableau ServerDesktopに複数の深刻な脆弱性-CVE-2025-26496など修正済みTableau Server/Desktopに複数の深刻な脆弱性-CVE-2025-26496など修正済み Jenkins複数プラグインの深刻な脆弱性を修正(CVE-2025-47889,CVE-2025-47884,CVE-2025-47885)Jenkins、複数プラグインの深刻な脆弱性を修正(CVE-2025-47889,CVE-2025-47884,CVE-2025-47885) OpenSSLが3件の脆弱性を同時公開(CVE-2025-9230 / -9231 / -9232)OpenSSLが3件の脆弱性を同時公開(CVE-2025-9230 / -9231 / -9232) PythonのWebフレームワーク「Reflex」に高リスクな脆弱性(CVE-2025-47425)PythonのWebフレームワーク「Reflex」に高リスクな脆弱性(CVE-2025-47425) エレコム製無線LANルータに複数の深刻な脆弱性、サポート終了製品も含まれる(CVE-2025-43879,CVE-2025-48890)エレコム製無線LANルータに複数の深刻な脆弱性、サポート終了製品も含まれる(CVE-2025-43879,CVE-2025-48890) Ivanti Neurons for ITSM（オンプレミス版）に認証バイパス脆弱性(CVE-2025-22462)-早急なパッチ適用を推奨Ivanti Neurons for ITSM（オンプレミス版）に認証バイパス脆弱性(CVE-2025-22462)-早急なパッチ適用を推奨 MongoDBで重大な脆弱性（CVE-2025-14847）、早急な更新を推奨MongoDBで重大な脆弱性（CVE-2025-14847）、早急な更新を推奨 Notepad++のアップデータに深刻な脆弱性、更新プロセスを乗っ取られマルウェアが配布される恐れ(CVE-2023-40031)Notepad++のアップデータに深刻な脆弱性、更新プロセスを乗っ取られマルウェアが配布される恐れ(CVE-2023-40031)