Vulnerabilidad CVE-2025-37093 (HPE StoreOnce)

Detalles técnicos clave:

• Mecanismo de explotación: La vulnerabilidad reside en una implementación defectuosa del método machineAccountCheck, parte del algoritmo de autenticación del software. Esto permite eludir por completo los controles de autenticación sin necesidad de credenciales.

• Vector de ataque: Remoto a través de red (AV:N), sin requerir privilegios previos (PR:N) ni interacción del usuario (UI:N).

• Impacto máximo: Compromiso completo del sistema (Confidencialidad, Integridad y Disponibilidad en nivel Alto).

Contexto de riesgo:

• Afecta específicamente a HPE StoreOnce VSA en todas las versiones anteriores a la 4.3.11.

• Aunque el EPSS (Probability of Exploitation) es del 0.06%, su severidad máxima (CVSS 9.8) la clasifica como prioridad crítica para entornos empresariales.

Recomendaciones técnicas:

1. Actualización inmediata a la versión 4.3.11 mediante el parche oficial de HPE.

2. Implementar segmentación de red para aislar sistemas StoreOnce hasta aplicar el parche.

3. Monitorear logs de autenticación en busca de intentos de acceso anómalos, especialmente en la interfaz de administración.

Características principales de HPE StoreOnce

• Virtualización: StoreOnce VSA se implementa como una máquina virtual en hipervisores como VMware vSphere y Microsoft Hyper-V, permitiendo una rápida puesta en marcha y escalabilidad flexible.

• Capacidad: Puede gestionar hasta 500 TB de almacenamiento usable, ampliable hasta 1.500 TB mediante la función Cloud Bank Storage para integración con almacenamiento en la nube.

• Rendimiento: Es capaz de proteger hasta 36 TB de datos por hora, lo que la hace apta tanto para pequeñas sucursales como para grandes centros de datos.

• Tecnología de deduplicación: Utiliza deduplicación y compresión avanzadas para almacenar los datos de respaldo de manera eficiente y económica, reduciendo el espacio requerido en disco.

• Compatibilidad: Ofrece las mismas funciones y compatibilidad con software de protección de datos que los dispositivos StoreOnce físicos, pero en formato virtual.s.

• Gestión centralizada: Todas las instancias, físicas o virtuales, pueden gestionarse desde una consola centralizada, facilitando la administración en entornos distribuidos.

• Licenciamiento flexible: Se basa en licencias por capacidad, con opciones de licenciamiento autónomo o mediante servidor de licencias para entornos con múltiples instancias.