慧与HPE Instant On设备存在硬编码凭证漏洞 可获取管理员权限
内容提要
HPE发布安全更新，修复Instant On接入点设备中的高危漏洞CVE-2025-37103（CVSS评分9.8），攻击者可绕过身份验证获取管理员权限。同时修复CVE-2025-37102（评分7.2），可能被组合利用。建议用户尽快更新以防潜在威胁。
关键要点
-
HPE发布安全更新，修复Instant On接入点设备中的高危漏洞CVE-2025-37103，CVSS评分9.8。
-
CVE-2025-37103漏洞允许攻击者绕过身份验证，获取管理员权限。
-
HPE同时修复了CVE-2025-37102漏洞，CVSS评分7.2，可能被组合利用。
-
攻击者可通过组合利用这两个漏洞形成攻击链，先获取管理员权限，再执行恶意命令。
-
HPE确认漏洞由Ubisectech Sirius团队发现并报告，已在软件3.2.1.0及以上版本中修复。
-
其他设备如Instant On交换机不受此漏洞影响，用户应尽快更新以防潜在威胁。
延伸解读
漏洞影响与风险
CVE-2025-37103和CVE-2025-37102漏洞的存在，使得HPE Instant On接入点设备面临严重安全风险。攻击者可以通过组合利用这两个漏洞，首先获取管理员权限，然后执行恶意命令，可能导致数据泄露或系统崩溃。用户需高度重视这些漏洞的潜在影响，及时更新设备以防范攻击。
更新的重要性
HPE已在3.2.1.0及以上版本中修复了相关漏洞，用户应尽快进行软件更新。尽管目前没有证据表明漏洞被实际利用，但不及时更新可能会使设备暴露于攻击风险之中。保持设备软件的最新状态是确保网络安全的基本措施。
其他设备的安全性
值得注意的是，HPE确认其他设备如Instant On交换机不受此次漏洞影响。这意味着用户在管理不同设备时，需关注各自的安全更新情况，确保整体网络环境的安全性。对不同设备的安全性进行评估，有助于制定更全面的安全策略。
延伸问答
CVE-2025-37103漏洞的影响是什么？
CVE-2025-37103漏洞允许攻击者绕过身份验证，获取管理员权限，CVSS评分为9.8。
HPE修复了哪些漏洞？
HPE修复了CVE-2025-37103和CVE-2025-37102两个漏洞。
用户应该如何应对这些漏洞？
用户应尽快更新HPE Networking Instant On软件至3.2.1.0及以上版本，以防潜在威胁。
CVE-2025-37102漏洞的风险是什么？
CVE-2025-37102漏洞允许攻击者在提升权限后，以特权用户身份执行任意命令，CVSS评分为7.2。
这两个漏洞是如何被利用的？
攻击者可以组合利用这两个漏洞，先获取管理员权限，再通过命令行界面注入恶意命令。
哪些设备不受这些漏洞影响？
其他设备如Instant On交换机不受CVE-2025-37103和CVE-2025-37102漏洞影响。
