CVE-2020-7197 | HPE SSMC远程身份验证绕过漏洞通告
发布时间 2020-10-260x00 漏洞概述
CVE ID | CVE-2020-7197 | 时 间 | 2020-10-26 |
类 型 | 身份验证绕过 | 等 级 | 高危 |
远程利用 | 是 | 影响范围 | 3.7.0.0之前的HP 3PAR StoreServ Management and Core Software Media |
HPE SSMC是适用于HPE Primera存储平台和HPE 3PAR StoreServ全闪存阵列系统的数据中心阵列管理和报告控制台。其通过HPE OneView等HPE管理工具提供了现代化的外观以及通用的界面和语言，并使用最新的API和UI技术，可将所有HP 3PAR StoreServ管理集中在一个单一的窗格中，提供文件和块的融合管理和报告功能。
0x01 漏洞详情
2020年10月23日，HPE发布安全通告，其已经修复了HPE StoreServ管理控制台（SSMC）中的一个远程身份验证绕过漏洞(CVE-2020-9197)，该漏洞的CVSS评分为10.0。
由于HPE StoreServ管理控制台（SSMC）3.7.0.0是一个非节点多阵列管理器Web应用程序，并且与托管阵列上的数据隔离，这使得SSMC很容易被远程身份验证绕过。
0x02 处置建议
目前HPE已更新了HPE StoreServ Management Console (SSMC)3.7.0.0，建议升级到HPE 3PAR StoreServ Management Console 3.7.1.1或更高版本。
下载地址：
https://myenterpriselicense.hpe.com/cwp-ui/free-software/SSMC_CONSOLE
0x03 参考链接
https://support.hpe.com/hpesc/public/docDisplay?docLocale=en_US&docId=hpesbst04045en_us
https://securityaffairs.co/wordpress/109962/security/ssmc-critical-auth-bypass-issue.html?
0x04 时间线
2020-10-23 HPE首次发布安全公告
2020-10-24 HPE更新安全公告
2020-10-26 VSRC发布安全通告
0x05 附录
CVSS评分标准官网：http://www.first.org/cvss/
京公网安备11010802024551号