HPE устранила уязвимости в серверах Compute Scale-up 3200 и 3250, позволяющие удаленное выполнение кода

Hewlett Packard Enterprise опубликовала бюллетень безопасности, в котором сообщила о выходе обновлений прошивки для серверных платформ HPE Compute Scale-up Server 3200 и 3250. Исправления закрывают две уязвимости, эксплуатация которых может привести к удаленному выполнению кода, компрометации целостности системы или отказу в обслуживании. Проблемы получили идентификаторы CVE-2026-34180 и CVE-2026-45447; базовый балл по шкале CVSS v3.1 составляет 7,5 и 8,8 соответственно.

Детали уязвимостей

Первая уязвимость, CVE-2026-34180, связана с переполнением буфера при чтении данных из кучи в процессе разбора ASN.1-структур. Ошибка возникает, когда обрабатывается специально сформированная DER-кодированная конструкция, содержащая примитивный элемент размером более двух гигабайт. На 64-битных системах Unix и Unix-подобных платформах это приводит к чтению данных за границами выделенной памяти. В результате возможен как отказ в обслуживании (аварийное завершение приложения), так и загрузка в декодированный объект ASN.1 содержимого произвольных участков оперативной памяти. В наиболее тяжелом сценарии усеченное значение длины трактуется как запрос на сканирование бинарного содержимого в поисках нулевого байта, что заставляет OpenSSL читать память либо меньше, либо больше отведенного буфера.

Вторая уязвимость, CVE-2026-45447, представляет собой повреждение памяти после освобождения (use-after-free) в функции PKCS7_verify(). При обработке подписанного сообщения PKCS#7 или S/MIME, если поле digestAlgorithms в структуре SignedData передается в виде пустого ASN.1 SET, OpenSSL может некорректно освободить объект BIO, принадлежащий вызывающей стороне. Последующее обращение к этому BIO со стороны приложения вызывает состояние use-after-free. В зависимости от поведения аллокатора и конкретной логики работы приложения это может приводить к аварийным завершениям, повреждению кучи или, в некоторых контекстах, к удаленному выполнению кода. Уязвимыми являются приложения, использующие OpenSSL PKCS#7 API для обработки PKCS#7 или S/MIME-сообщений; приложения на основе CMS API не затрагиваются.

Обе проблемы затрагивают лишь определенные версии прошивки серверов HPE. Для Compute Scale-up Server 3200 уязвимы версии, предшествующие v1.76.44, для Compute Scale-up Server 3250 - предшествующие v1.02.48. При этом сами уязвимости коренятся в библиотеке OpenSSL, однако HPE выпускает исправления для своего оборудования в виде обновленных комплектов прошивки. Компания отмечает, что модули FIPS (в версиях 4.0, 3.6, 3.5, 3.4 и 3.0) не подвержены данным дефектам, поскольку проблемный код находится за пределами границ FIPS-модуля.

Особого внимания требуют потенциальные векторы атаки. Для эксплуатации CVE-2026-34180 злоумышленнику достаточно передать на сервер вредоносную ASN.1-структуру, после чего возможен отказ в обслуживании или утечка данных из памяти. Для CVE-2026-45447 требуется наличие подписанного сообщения с пустым набором digestAlgorithms и последующий вызов PKCS7_verify(); успешная эксплуатация может привести к полному компрометированию сервера. Обе уязвимости доступны для удаленной атаки без привилегий (для CVE-2026-34180) или с минимальными привилегиями (для CVE-2026-45447), что делает их привлекательными для злоумышленников.

В бюллетене безопасности HPE подчеркивает, что рекомендации по установке исправлений должны быть выполнены как можно скорее. Компания предоставила обновления прошивки через портал HPE Support Center. Для Compute Scale-up Server 3200 необходимо загрузить комплект прошивки версии v1.76.44 или более поздней, для Compute Scale-up Server 3250 - версию v1.02.48 или выше. Процесс обновления включает поиск продукта на сайте поддержки, переход на вкладку "Драйверы и программное обеспечение" и загрузку соответствующего файла.

Владельцам уязвимых серверов следует проверить текущую версию прошивки и применить обновление. Временные меры защиты, такие как ограничение сетевого доступа к портам, задействованным в обработке PKCS#7 и ASN.1, могут снизить риск, но не устраняют корень проблемы. HPE рекомендует также следить за историей версий на странице загрузки, чтобы убедиться, что выбрана актуальная сборка.

Выпуск данного бюллетеня продолжает тенденцию производителей серверного оборудования оперативно реагировать на уязвимости в системных библиотеках. Учитывая, что обе проблемы затрагивают OpenSSL - популярную криптографическую библиотеку, используемую в широком спектре продуктов, - пользователям HPE стоит обратить внимание не только на серверы Compute Scale-up, но и на другие системы, где может использоваться уязвимая версия OpenSSL. Однако в данном случае исправления выпущены именно для конкретных платформ, и их установка является достаточной мерой для защиты.

Детали уязвимостей

Ссылки