HPE a publié un nouveau bulletin de sécurité révélant une vulnérabilité zero-day dans la dernière version de son logiciel serveur Systems Insight Manager (SIM).
HPE SIM est une solution d’automatisation de gestion et de support à distance pour Windows et Linux destinée à être utilisée avec les serveurs, le stockage et les produits réseau de l’entreprise.
La vulnérabilité zero-day récemment révélée, suivie comme CVE-2020-7200, a été signalée pour la première fois par le chercheur en sécurité Harrison Neal via l’initiative Zero Day de Trend Micro et elle affecte la version 7.6 du logiciel SIM de la société.
Bien que HPE ait publié des informations d’atténuation pour la vulnérabilité et travaille actuellement sur un correctif pour résoudre complètement le problème, il n’a pas révélé si le jour zéro est activement exploité dans la nature.
Sommaire
Exécution de code à distance
HPE a attribué à la vulnérabilité une note de gravité critique de 9,8 car elle peut être exploitée par des attaquants sans privilèges pour exécuter du code à distance sur des serveurs exécutant la version vulnérable de son logiciel SIM.
Dans son bulletin de sécurité, la société a expliqué que la vulnérabilité peut être atténuée en désactivant les fonctionnalités «Recherche fédérée» et «Configuration CMS fédérée» de SIM. HPE publiera également un correctif complet qui empêche la vulnérabilité d’exécution de code à distance dans les semaines à venir.
Pour l’instant cependant, les administrateurs système qui utilisent le logiciel de gestion SIM de HPE devront arrêter le service HP SIM, supprimer le fichier simsearch.ware, redémarrer le service et exécuter la commande «mxtool -r -f tools multi-cms-search.xml 1> nul 2> nul ”à partir d’une invite de commande.
Bien que cela empêchera la vulnérabilité d’être exploitée par des attaquants potentiels, cela signifiera également que les utilisateurs de HP SIM ne pourront plus utiliser la fonction de recherche fédérée.
Via BleepingComputer
