Hewlett Packard Enterprise (HPE), Saldırganların kimlik doğrulamasını atlamasına ve hassas sistemlere yetkisiz uzaktan erişim kazanmasına izin verebilecek Performans Küme Yöneticisi (HPCM) yazılımında ciddi bir güvenlik kusuru açıkladı.
CVE-2025-27086 olarak izlenen güvenlik açığı, HPCM sürümlerini 1.12 ve daha önceki etkiler ve yüksek performanslı bilgi işlem (HPC) küme yönetimi için araçlara dayanan işletmelere önemli riskler oluşturmaktadır.
Güvenlik açığı detayları ve riskleri
Kusur, HPCM Grafik Kullanıcı Arayüzünde (GUI) bulunur ve kötü niyetli aktörlerin zayıf kimlik doğrulama mekanizmalarını uzaktan kullanmasını sağlar. CVSS V3.1 puanı 8.1 (yüksek şiddet) ile saldırganlar bu sorunu şu şekilde kullanabilir:
.png
)
- Küme yapılandırmalarına erişin ve manipüle edin
- Hassas operasyonel verileri çıkarın
- Kritik bilgi işlem iş akışlarını bozun
HPE’nin istismarın, kullanıcı etkileşimi veya ayrıcalık gerektirmeyen danışmanlık, maruz kalan HPCM örnekleri olan kuruluşlar için acil bir endişe kaynağı olmasını gerektiriyor.
| Bağlanmak | Detaylar |
| Güvenlik Açığı Kimliği | CVE-2025-27086 |
| Etkilenen ürün | HPE Performans Kümesi Yöneticisi (HPCM) |
| Etkilenen sürümler | HPCM 1.12 ve önceki |
| Güvenlik Açığı Türü | Uzaktan Kimlik Doğrulama Bypass |
| CVSS v3.1 puanı | 8.1 (Yüksek) |
Güvenlik açığı HPCM 1.12’yi ve önceki tüm sürümleri etkiler. HPE, kusuru ele almak için HPCM 1.13 yayınladı ve müşterileri hemen yükseltmeye çağırıyor.
Güncellemenin hemen mümkün olmadığı ortamlar için şirket, GUI’yi aşağıdakilerle devre dışı bırakmanızı önerir:
- Yapılandırma dosyasını /opt/clmgr/etc/cmusererver.conf düzenleme
- CMU_Java_Server_args parametresine -dcmu.rmi = false ekleme
- CMDB.Service’i yeniden başlatma
Bu geçici çözüm, uzak durma süresi gerektirmeden saldırı vektörünü nötralize ederek uzaktan yöntem çağırma (RMI) hizmetini devre dışı bırakır.
HPCM, kümelerin hassas verilerin petabaytlarını yönettiği araştırma, finansal modelleme ve AI gelişiminde yaygın olarak kullanılmaktadır.
Başarılı bir ihlal, fikri mülkiyet hırsızlığına, operasyonel felç veya uyum ihlallerine yol açabilir.
Bir HPE sözcüsü “Proaktif yama kritik” dedi. “Kuruluşlar bu güncellemeye, özellikle de internete bakan HPCM örneklerine sahip olanlara öncelik vermelidir.”
Siber güvenlik uzmanları HPE’nin aciliyetini yankılanıyor:
- Anında Eylem: HPCM sürümünüzü doğrulayın ve v1.13 uygulayın.
- Ağ Hijyeni: HPCM GUI’nin güvenilir dahili ağlara erişimini kısıtlayın.
- İzleme: Olağandışı kimlik doğrulama denemeleri veya yapılandırma değişiklikleri için denetim günlükleri.
HPE, aktif sömürü kanıtı doğrulamadı, ancak kamu açıklamasının saldırı olasılığını artırdığı konusunda uyarıyor.
Bu olay, küme yönetimi araçlarının güvence altına alınmasındaki tekrarlayan zorlukları vurgulamaktadır. 2024’te Kubernetes panoları ve bulut orkestratörlerindeki benzer kusurlar yaygın ihlallere yol açtı.
HPE’nin eski HPCM sürümlerine yönelik destek düzeltmeleri yapmama kararı, güncellenmiş yazılım ekosistemlerini korumanın öneminin altını çiziyor.
Find this News Interesting! Follow us on Google News, LinkedIn, & X to Get Instant Updates!