Ombre dans la salle des serveurs : la faille critique de HPE OneView expose les entreprises mondiales

Tard dans la soirée, un chercheur en sécurité vietnamien a discrètement mis au jour une faille numérique tapie sous l’infrastructure technologique mondiale. Cette faille, enfouie au cœur du logiciel OneView de Hewlett Packard Enterprise (HPE), pourrait permettre à des pirates de prendre le contrôle de systèmes critiques en quelques frappes de clavier - sans aucun mot de passe requis. Alors que les équipes informatiques du monde entier s’empressent de renforcer leurs défenses, une question demeure : depuis combien de temps cette porte dérobée numérique est-elle ouverte, et qui a déjà pu s’y engouffrer ?

Anatomie d’une faille critique

HPE OneView est l’orchestrateur silencieux de milliers de salles serveurs, permettant aux administrateurs de gérer serveurs, stockage et équipements réseau depuis un tableau de bord unifié. Mais cette commodité a un prix : le chercheur Nguyen Quoc Khanh a découvert que chaque version de OneView antérieure à la 11.00 est vulnérable à un bug de gravité maximale (CVE-2025-37164) permettant à un attaquant d’exécuter n’importe quel code à distance - sans avoir besoin de s’authentifier.

Les détails techniques sont sans appel : il s’agit d’une vulnérabilité d’injection de code à faible complexité. En termes simples, un pirate n’a pas besoin de compétences particulières ni d’accès privilégié ; il lui suffit d’envoyer une requête spécialement conçue, et le système exécute ses commandes à son insu. Il n’existe aucune solution temporaire ou de contournement - seule une mise à jour vers la version 11.00 ou l’application d’un correctif de sécurité permet de combler la faille.

Impact mondial

Avec les produits HPE présents dans les centres de données de 90 % des entreprises du Fortune 500, les risques sont difficiles à surestimer. L’étendue de OneView signifie qu’un seul serveur non corrigé pourrait servir de tremplin à des compromissions massives, des vols de données, voire des attaques par ransomware. HPE n’a pas confirmé d’exploitation active, mais l’avis urgent de l’entreprise et l’absence de solution de mitigation soulignent la gravité de la menace.

Ce n’est pas la première fois que HPE fait face à des problèmes de sécurité critiques. Le mois dernier, l’entreprise a alerté sur des identifiants codés en dur dans ses appareils Aruba Instant On, et en juin, elle a corrigé huit failles majeures dans sa solution de sauvegarde StoreOnce. Pour les organisations qui s’appuient sur l’infrastructure HPE, ces incidents soulignent l’importance d’une réaction rapide, d’une surveillance continue et d’une culture axée sur la sécurité.

Conclusion

En tant que colonne vertébrale numérique des plus grandes entreprises mondiales, les logiciels HPE sont une cible de choix pour les cybercriminels. La vulnérabilité OneView rappelle crûment qu’à l’ère de l’informatique interconnectée, une seule faille peut avoir des répercussions à l’échelle des continents. Pour l’instant, la meilleure défense reste la vigilance - et l’application immédiate du correctif.

WIKICROOK

• Exécution de code à distance (RCE) : L’exécution de code à distance (RCE) désigne une attaque où un pirate exécute son propre code sur le système de la victime, pouvant entraîner une prise de contrôle ou une compromission totale de ce système.
• Injection de code : L’injection de code est une attaque où des pirates insèrent du code malveillant dans un programme, leur permettant de contrôler ou de compromettre le système ciblé.
• Correctif d’urgence (Hotfix) : Un correctif d’urgence est une mise à jour logicielle rapide destinée à corriger une faille de sécurité ou un bug spécifique avant la publication d’une mise à jour complète.
• Identifiants codés en dur : Les identifiants codés en dur sont des noms d’utilisateur ou mots de passe intégrés dans le code d’un logiciel, représentant un risque majeur s’ils sont découverts par des attaquants ou des utilisateurs non autorisés.
• Contournement de l’authentification : Le contournement de l’authentification est une vulnérabilité permettant à un attaquant de passer outre ou de tromper le processus de connexion, accédant ainsi à un système sans identifiants valides.