آسیب‌پذیری Bypass در HPE StoreOnce به مهاجمان امکان دور زدن احراز هویت را می‌دهد.

هشدار HPE درباره آسیب‌پذیری‌های متعدد در StoreOnce؛ نقص بحرانی Bypass احراز هویت شناسایی شد

شرکت Hewlett Packard Enterprise (HPE) در یک بولتن امنیتی جدید، نسبت به وجود هشت آسیب‌پذیری در راهکار پشتیبان‌گیری و حذف افزونگی مبتنی بر دیسک خود با نام StoreOnce هشدار داده است.

در میان این نقص‌ها، آسیب‌پذیری با شدت بحرانی با شناسه CVE-2025-37093 و امتیاز ۹٫۸ در مقیاس CVSS v3.1 قرار دارد که امکان دور زدن احراز هویت (Authentication Bypass) را برای مهاجمان فراهم می‌سازد. همچنین، سه مورد اجرای کد از راه دور (RCE)، دو مورد Traversal در مسیر فایل‌ها و یک مورد حمله‌ی Server-Side Request Forgery (SSRF) نیز در این بسته امنیتی رفع شده‌اند.

تمام نسخه‌های نرم‌افزار HPE StoreOnce پیش از نسخه v4.3.11 تحت تأثیر این آسیب‌پذیری‌ها هستند و به‌روزرسانی به نسخه‌ی مذکور از سوی HPE به‌عنوان راهکار توصیه‌شده اعلام شده است.

فهرست کامل آسیب‌پذیری‌های وصله‌شده در نسخه ۴٫۳٫۱۱:

• CVE-2025-37089 – Remote Code Execution
• CVE-2025-37090 – Server-Side Request Forgery
• CVE-2025-37091 – Remote Code Execution
• CVE-2025-37092 – Remote Code Execution
• CVE-2025-37093 – Authentication Bypass (بحرانی)
• CVE-2025-37094 – Directory Traversal منجر به حذف فایل
• CVE-2025-37095 – Directory Traversal منجر به افشای اطلاعات
• CVE-2025-37096 – Remote Code Execution

تحلیل فنی و جزئیات

طبق اطلاعات منتشرشده توسط Zero Day Initiative (ZDI)، آسیب‌پذیری بحرانی CVE-2025-37093 ناشی از پیاده‌سازی نادرست در متد machineAccountCheck است که به دلیل ضعف در الگوریتم احراز هویت، امکان عبور غیرمجاز از مکانیزم احراز هویت را فراهم می‌کند.

گرچه فقط همین آسیب‌پذیری به‌صورت رسمی به‌عنوان “بحرانی” دسته‌بندی شده، سایر نقص‌ها نیز دارای ریسک‌های عملیاتی بالا هستند. به‌ویژه آن‌که این Bypass احراز هویت به مهاجمان اجازه می‌دهد تا بستر بهره‌برداری از سایر آسیب‌پذیری‌ها را فراهم کنند.

ZDI تأکید کرده است که حتی آسیب‌پذیری‌هایی با شدت متوسط مانند CVE-2025-37094 و CVE-2025-37095 نیز در عمل به‌راحتی قابل بهره‌برداری هستند و امکان حذف فایل‌های دلخواه یا افشای اطلاعات حساس را برای مهاجم فراهم می‌سازند.

زمان کشف و واکنش HPE

این نقص‌ها در اکتبر ۲۰۲۴ توسط ZDI به HPE گزارش شده‌اند، اما وصله‌های امنیتی پس از گذشت هفت ماه، در نسخه ۴٫۳٫۱۱ منتشر شده‌اند. با این حال، تاکنون گزارشی مبنی بر سوءاستفاده فعال از این آسیب‌پذیری‌ها منتشر نشده است.

توصیه امنیتی

محیط‌هایی که از StoreOnce در زیرساخت‌های پشتیبان‌گیری استفاده می‌کنند – از جمله سازمان‌های بزرگ، مراکز داده، ارائه‌دهندگان خدمات ابری و محیط‌های مجازی‌سازی گسترده – باید در اسرع وقت اقدام به به‌روزرسانی به نسخه ۴٫۳٫۱۱ نمایند.

HPE هیچ راهکار جایگزین یا راه‌حل موقتی برای این آسیب‌پذیری‌ها ارائه نکرده و ارتقا به نسخه‌ی اصلاح‌شده را تنها راهکار مؤثر معرفی کرده است.