HPは、StoreVirtualサーバーに文書化されていないバックドアが含まれている可能性があることを認めました。 脆弱性は、ストレージシステムへの不正アクセスを引き起こす可能性があります。 バックドアは、神聖な聖人「LeftHand」（StoreVirtualサーバー上のオペレーティングシステム）への直接アクセスをユーザーに提供します。 HPは以前、LeftHand StorageおよびLeft P4000 SANとして市場でStoreVirtualシステムを販売していました。 LeftHandオペレーティングシステムは、元々SAN / iQと呼ばれていました。
HP サポートセンターは、バックドアはサーバーへのフルアクセスを提供しますが、ユーザーデータへのアクセスは提供しないことを強調しています。 HPは7月17日までに、バックドアを削除する「パッチ」をリリースする予定です。
HPバックアップサーバーで同様のバックドアが6月末に発見されました。 StoreOnceシステムと同様に、このケースには文書化されていない管理者アクセスが含まれます。 緊急時に（たとえば、必要に応じてマスターパスワードをリセットするなど）、これにより、HPスタッフはユーザーにリモートアシスタンスを提供する機会が与えられました。 StoreOnceと同様、この脆弱性はTechnionとして知られるセキュリティ研究者のJoshua Smallによって再び発見されました。
StoreOnceシステムのバックドアは、ソフトウェアがバージョン3（2012年11月にリリース）に更新されていないデバイスにのみ影響しました。 HPによれば、StoreOnceデバイスの第2世代全体を第3世代のStoreOnceにアップグレードでき、初期のStorageWorks D2Dデバイスのみがこのソフトウェアを実行できません。 影響を受けるシステムのリストは、HPの公式サポートセンターにあります。
StoreOnce 3.xで使用されるストレージ方法は、以前のバージョンで使用されていたものと根本的に異なります。 したがって、新しいソフトウェアをインストールする前に、アップグレードする管理者はすべてのデータをバックアップし、インストール後に復元する必要があります。 そのため、多くのお客様にとって、7月7日にリリースされたStoreOnce 2.xのパッチは、より簡単な短期ソリューションになる可能性があります。 Joshua Smallsはこのパッチをテストし、HPSupportの隠しアカウントを実際に無効にすることを確認しました。
小規模なユーザーは、完全な失望によるセキュリティの脆弱性を独力で発見し、サブアカウント名とSHA-1パスワードハッシュも公開しました。 このパスワードは7文字しかないため、ハッカーはこのパスワードをすぐに解読します。 この発見の前に、スモールは数週間かけて無駄な防御に関するHPの深刻さを目覚めさせようとして無駄に費やしていました。 ただし、HPは対応する前に、セキュリティの脆弱性が発見されるまで待機しました。
HPは、SmallがStoreVirtuaサーバーにバックドアがあると言ったとき、もっとおしゃべりになったので、Smallはすぐに通知することを控えました。 管理者向けのバックドアは、少なくとも2009年以降 、LeftHandオペレーティングシステムの一部となっています。 繰り返しますが、アカウントのユーザー名とパスワードは同じであることがわかります。