HPE OneView の未認証リモートコード実行（悪用確認済み・実証コード公開）

Critical（CVSS 9.8）に分類されるHewlett Packard Enterprise HPE OneViewの脆弱性です。サーバ基盤の統合管理製品 HPE OneView にリモートコード実行の欠陥がある。NVD に載っている記述は「A remote code execution issue exists in HPE OneView.」の一文のみで、技術的詳細は HPE のセキュリティブリテン（hpesbgn04985en_us）側に置かれている。影響は NVD の CPE によると OneView 10.20.00 以下。OneView は物理サーバやシャーシ、ネットワークのプロビジョニングとファームウェア配布を担う管理点であり、iLO（サーバの管理コントローラ）の資格情報を保持しているため、ここが取られるとハードウェア層に対する広範な操作権限が渡る。CVSS は評価元で分かれており、NVD（Primary）は 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の HPE は 10.0 Critical（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）としている。差はスコープ変更の有無（S:U か S:C）で、HPE は影響が OneView 自身の枠を超えて管理対象へ及ぶと見ている。NVD の vulnStatus は Analyzed。CISA KEV には 2026-01-07 に収載され、是正期限は 2026-01-28。ランサムウェア利用は Unknown（不明）。Metasploit Framework に本件の攻撃モジュール（exploits/linux/http/hpe_oneview_rce）が取り込まれており、攻撃の手間は極めて低い状態にある。

判定は OneView のバージョン確認で足り、10.20.00 以下なら該当する。管理画面のヘルプ／バージョン情報、あるいは REST API の /rest/version で取得できる。到達性の確認も同時に行い、OneView の Web インタフェースが管理セグメント以外から見えていないかをファイアウォール規則で洗う。この CVE で最も重要なのは、Metasploit モジュールが公開されている点である。実証コードが攻撃フレームワークに取り込まれている場合、攻撃者側の必要スキルはほぼゼロになり、インターネットに面していれば自動化されたスキャンで踏まれる前提で考える必要がある。対応は HPE のセキュリティブリテン（hpesbgn04985en_us）に従って修正版へ更新することである。OneView はアプライアンス形式で提供されるため、更新はアプライアンスのアップデート手順に従い、更新中は管理操作が止まることを織り込む。更新の日程が取れない場合の緩和は、OneView への到達を運用端末の踏み台のみに限定することである。この欠陥は未認証で成立するため、経路を絞ることが直接的な防御になる。KEV 収載済み、つまり実際に悪用されているため、公開または広い経路から到達可能だった期間があるなら侵害調査を行う。確認すべきは、OneView 上の追加されたユーザーアカウントと権限変更、監査ログにある想定外のプロファイル適用やファームウェア配布ジョブ、そして OneView が保持している iLO / OA の管理者資格情報である。ハードウェア管理製品が侵害された場合、攻撃者は OS の下（BMC・ファームウェア層）に足場を作れるため、疑いが強い場合は iLO のパスワード変更だけでなく、iLO のファームウェア再適用や設定初期化まで検討する。完了条件は、（1）OneView がブリテン記載の修正版以降、（2）OneView への到達が管理セグメントに限定されている、（3）到達可能だった期間があるなら監査ログの点検と iLO 資格情報の再発行が済んでいることである。KEV 是正期限 2026-01-28 は経過している。

Hewlett Packard Enterprise HPE OneView を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-37164）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/01/28 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。