This post is also available in: Português
A Hewlett Packard Enterprise (HPE) alertou recentemente seus clientes sobre uma vulnerabilidade crítica no software HPE StoreOnce, identificada como CVE-2025-37093. O problema afeta diretamente a integridade da autenticação no sistema, permitindo que invasores contornem mecanismos de verificação de identidade e acessem funcionalidades sem credenciais válidas.
O que é o HPE StoreOnce e quais versões são afetadas?
O HPE StoreOnce é uma solução de backup e de duplicação projetada para ambientes empresariais, oferecendo armazenamento eficiente e proteção de dados. A vulnerabilidade em questão impacta as versões do software StoreOnce de 4.3.2 a 4.3.8.
Segundo o comunicado oficial da HPE, a falha foi corrigida na versão 4.3.8.1, que já está disponível para atualização. Clientes que ainda operam versões anteriores são fortemente incentivados a aplicar a atualização imediatamente.
Entendendo a CVE-2025-37093
A vulnerabilidade foi catalogada sob a classificação CWE-287: Improper Authentication, que descreve falhas em mecanismos de verificação de identidade em sistemas. No caso do StoreOnce, a falha permite que um agente remoto não autenticado acesse o sistema sem passar por controles adequados de autenticação.
A pontuação CVSS atribuída a essa falha é de 9.8 em 10, o que a coloca na categoria de gravidade crítica. Esse escore considera tanto o vetor de ataque remoto quanto o fato de a exploração não exigir interação do usuário nem privilégios prévios.
Como a falha funciona?
A CVE-2025-37093 permite que um invasor remoto explore falhas nos mecanismos de autenticação do StoreOnce, contornando-os por completo. Isso significa que, sem fornecer credenciais válidas, um atacante pode ganhar acesso ao sistema, podendo visualizar, modificar ou excluir dados de backup — o que representa um risco significativo para empresas que dependem da ferramenta para continuidade de negócios e proteção contra perda de dados.
Embora detalhes técnicos específicos sobre o vetor de ataque não tenham sido divulgados para evitar exploração ativa, já existem indícios de que a vulnerabilidade está sendo analisada por atores maliciosos. É importante destacar que o histórico de falhas semelhantes indica um alto risco de exploração iminente. A simples existência de uma falha crítica de autenticação em uma solução amplamente usada já coloca clientes em situação de alerta.
Mitigação e correção
A correção foi disponibilizada pela HPE na versão 4.3.8.1 do StoreOnce. Segundo a empresa, essa atualização elimina a falha de autenticação e restabelece os controles adequados de acesso ao sistema.
Além da atualização, organizações também são aconselhadas a revisar seus registros de acesso, aplicar controles de rede adicionais (como firewalls e segmentação), e considerar a adoção de autenticação multifator onde for possível.
This post is also available in: Português
