【缝隙公告】CVE-2020-7200 HPE SIM远程代码执行缝隙
颁布功夫 2020-12-170x00 缝隙概述
CVE ID | CVE-2020-7200 | 时 间 | 2020-12-17 |
类 型 | RCE | 等 级 | 严沉 |
远程利用 | 是 | 影响领域 | HPE SIM 7.6.X |
0x01 缝隙详情
HPE Systems Insight Manager（SIM）是用于多个HPE服务器、存储和网络产品的治理和远程支持自动化解决规划 。
2020年12月15日，HPE颁布安全布告，颁布了SIM中的一个远程代码执行缝隙（CVE-2020-7200），该缝隙的CVSS评分为9.8 。
该缝隙是未对用户提交的数据进行正确验证造成的，这可能导致不成信数据的反序列化，攻击者能够利用此缝隙在指标服务器上执行代码，无需用户交互且利用复杂度低 。
0x02 措置建议
HPE SIM支持Linux和Windows系统 。目前，HPE仅颁布了针对Windows系统的一时措施，HPE将在将来的版本中提供该缝隙的齐全建复法式 。
一时措施（仅合用于windows系统）：
禁用“结合搜索”和“结合CMS配置”职能，步骤如下：
1.终场HPE SIM服务 。
2.从SIM的装置蹊径中删除
3.沉启HPE SIM服务 。
4. 期待HPE SIM网页“ https：// SIM_IP：50000”可接见后，在号令提醒符中执行该号令：mxtool -r -f tools\multi-cms-search.xml 1>nul 2>nul 。
0x03 参考链接
https://support.hpe.com/hpesc/public/docDisplay?docLocale=en_US&docId=hpesbgn04068en_us
https://www.bleepingcomputer.com/news/security/hpe-discloses-critical-zero-day-in-server-management-software/
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-7200
0x04 功夫线
2020-12-15 HPE颁布安全布告
2020-12-16 HPE更新安全布告
2020-12-17 VSRC颁布安全公告
0x05 附录
CVSS评分尺度官网：http://www.first.org/cvss/
京公网安备11010802024551号