【漏洞通告】CVE-2020-7200 HPE SIM远程代码执行漏洞
发布时间 2020-12-170x00 漏洞概述
CVE ID | CVE-2020-7200 | 时 间 | 2020-12-17 |
类 型 | RCE | 等 级 | 严重 |
远程利用 | 是 | 影响范围 | HPE SIM 7.6.X |
0x01 漏洞详情
HPE Systems Insight Manager（SIM）是用于多个HPE服务器、存储和网络产品的管理和远程支持自动化解决方案。
2020年12月15日，HPE发布安全公告，公布了SIM中的一个远程代码执行漏洞（CVE-2020-7200），该漏洞的CVSS评分为9.8。
该漏洞是未对用户提交的数据进行正确验证造成的，这可能导致不可信数据的反序列化，攻击者可以利用此漏洞在目标服务器上执行代码，无需用户交互且利用复杂度低。
0x02 处置建议
HPE SIM支持Linux和Windows系统。目前，HPE仅发布了针对Windows系统的临时措施，HPE将在未来的版本中提供该漏洞的完整修复程序。
临时措施（仅适用于windows系统）：
禁用“联合搜索”和“联合CMS配置”功能，步骤如下：
1.停止HPE SIM服务。
2.从SIM的安装路径中删除
3.重启HPE SIM服务。
4. 等待HPE SIM网页“ https：// SIM_IP：50000”可访问后，在命令提示符中执行该命令：mxtool -r -f tools\multi-cms-search.xml 1>nul 2>nul。
0x03 参考链接
https://support.hpe.com/hpesc/public/docDisplay?docLocale=en_US&docId=hpesbgn04068en_us
https://www.bleepingcomputer.com/news/security/hpe-discloses-critical-zero-day-in-server-management-software/
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-7200
0x04 时间线
2020-12-15 HPE发布安全公告
2020-12-16 HPE更新安全公告
2020-12-17 VSRC发布安全通告
0x05 附录
CVSS评分标准官网：http://www.first.org/cvss/
京公网安备11010802024551号