HPE warnt vor kritischer Zero-Day-Lücke im Systems Insight Manager

Hewlett Packard Enterprise (HPE) hat eine Sicherheitswarnung für den HPE Systems Insight Manager (SIM) für Windows veröffentlicht. In der Software steckt demnach eine Zero-Day-Lücke, die das Einschleusen und Ausführen von Schadcode ermöglicht, wie Bleeping Computer berichtet. Bisher stellt HPE lediglich eine Behelfslösung zur Verfügung, mit der sich das Risiko eines erfolgreichen Angriffs reduzieren lässt.

Der Systems Insight Manager dient der Verwaltung von Servern, Storage und Netzwerkprodukten von HPE sowie deren Fernsteuerung. Unter anderem werden ProLiant-Server der neunten und zehnten Generation unterstützt.

Dem Security Bulletin zufolge ist die Version 7.6.x angreifbar. Im Common Vulnerability Scoring System (CVSS) ergibt sich laut HPE ein Basis-Score von 9,8 von zehn möglichen Punkten. Entdeckt wurde die Schwachstelle vom Sicherheitsforscher Harrison Neal, der wiederum mit der Zero Day Initiative von Trend Micro zusammenarbeitet.

Die Behelfslösung, die HPE derzeit anbietet, sieht vor, dass die anfälligen Komponenten „Federated Search“ und „Federated CMS Configuration“ der SIM-Software entfernt werden. Dafür muss der HPE SIM Service angehalten und die Datei „simsearch.war“ gelöscht werden. Nach dem Neustart des SIM Service ist es zudem erforderlich, über die Eingabeaufforderung den Befehl “ mxtool -r -f tools\multi-cms-search.xml 1>nul 2>nul“ auszuführen.

Eine detaillierte Anleitung findet sich in der Sicherheitswarnung. Sie gilt allerdings nur für Windows-Systeme, obwohl HPE SIM auch für Linux verfügbar ist, wie Bleeping Computer anmerkt.

Zudem bestätige HPE, dass ein vollständige Patch in Arbeit sei. Er werde mit einem künftigen Release verteilt, zu dem es aber noch keinen Zeitplan gibt. Bis dahin seien die fraglichen Dienste nicht verfügbar. Ob die Anfälligkeit bereits aktiv für Angriffe ausgenutzt wird, teilte HPE nicht mit.