近日，惠普企业（HPE）发布安全预警，旗下基础设施管理平台 HPE OneView 存在编号为CVE-2025-37164的严重安全漏洞，该漏洞 CVSS 3.1 评分为满分 10.0，属于最高等级高危漏洞，风险极高，企业需尽快排查处置。
HPE OneView 是面向数据中心的集中管控平台，用于统一管理服务器、存储、网络等基础设施，广泛应用于政企、制造业、运营商等企业机房环境。本次漏洞根源为不安全的 REST 接口（/rest/id-pools/executeCommand）存在代码注入缺陷，攻击者无需账号密码，仅通过网络访问目标接口，即可发起攻击，实现任意远程代码执行，不需要受害者交互，攻击门槛很低。
一旦漏洞被利用，攻击者可直接获取 OneView 管理平台最高控制权，以此为支点横向渗透内网，窃取业务数据、篡改配置、关停服务器与存储资源，造成核心业务中断、数据泄露、整套基础设施失陷等重大安全事故。该漏洞已被列入已知在野利用漏洞清单，存在真实攻击风险。
受影响范围覆盖 HPE OneView 10.20 及更早所有版本，HPE Synergy Composer 同步受到波及；11.00 及以上版本已经完成漏洞修复。
针对该漏洞，官方给出两类修复方案。条件允许的单位优先升级至 OneView 11.00 及更高版本；暂时无法完成大版本升级的 5.20～10.20 版本，可部署对应官方热补丁。需要注意，Synergy Composer 重镜像、设备升级后补丁会失效，虚拟设备与 Composer2 补丁包相互独立，需要分开部署。
在完成升级或打补丁前，运维人员可采取临时防护措施降低风险：严格禁止 OneView 管理端口直接暴露在公网，通过防火墙配置访问白名单，仅开放给内网可信地址；开启平台审计日志，持续监测异常接口访问与陌生请求；梳理资产清单，优先对核心机房内的 OneView 实例开展排查。
安全专家提醒，作为数据中心核心管控组件，OneView 一旦失守，影响面远大于普通业务系统。各单位应将该漏洞纳入紧急运维工单，尽快完成资产核验、补丁安装和安全加固，避免遭到攻击入侵。
