HPE - CVE-2026-79820
Date de publication :
Il s'agit d'une vulnérabilité de validation des utilisateurs dans le firmware HPE Integrated Lights-Out (iLO) 7, exploitable à distance par le réseau.
HPE Integrated Lights-Out 7 (iLO 7) est le contrôleur de gestion embarqué des serveurs HPE de génération 12. Il offre l'administration à distance du serveur (console, alimentation, firmware, supervision) par une interface web et une API Redfish, indépendamment du système d'exploitation. Il peut aussi être relié à la plateforme de gestion HPE Compute Ops Management.
HPE ne communique aucun détail technique sur le mécanisme de l'échec de validation. L'attaque ne requiert aucune authentification ni aucune interaction utilisateur, mais sa complexité est élevée. Le vecteur CVSS de HPE indique un changement de périmètre. Seule la version 1.25.00 est listée comme affectée.
Elle permet à un attaquant distant non authentifié d'obtenir un accès de niveau administrateur à l'iLO.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Contournement de la politique de sécurité
Exploitation
CWE-287 : Improper Authentication
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Élevée
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
HPE Integrated Lights-Out 7 (iLO 7) version 1.25.00