SimpleHelp の脆弱性 CVE-2024-57726／57727／57728 が FIX：RCE／特権昇格などの可能性

SimpleHelp Urgents to Patch Critical Security Vulnerabilities

2025/01/14 SecurityOnline — Horizon3.ai のリモート・サポート・ツール SimpleHelp に影響をおよぼす３つの脆弱性が、セキュリティ研究者の Naveen Sunkavally により発見された。脆弱性 CVE-2024-57726／CVE-2024-57727／CVE-2024-57728 の悪用に成功した攻撃者は、SimpleHelp サーバおよびクライアント・マシンの侵害が可能となるため、ユーザーには深刻なリスクがもたらされる。

SimpleHelp は、主に３つのシナリオにおいて、リモート・サポートを提供する：

  1. 管理者：SimpleHelp サーバを設定／管理する。
  2. 技術者：顧客にリモート・サポートを提供する。
  3. 顧客：SimpleHelp サーバ上の実行によりサポートを受ける。

SimpleHelp サーバは、Web アプリケーションおよびプロキシとして機能し、技術者／顧客間の安全な通信を確立するものだ。また、SimpleHelp は無人アクセス機能もサポートしているため、ユーザーからの入力が無くても、技術者はクライアント・マシンとインタラクトできる。

Sunkavally により発見された、３つの脆弱性の詳細を以下に記す：

CVE-2024-57727 (CVSS 7.5)：認証なしのパス・トラバーサル

この脆弱性を悪用する攻撃者は、認証を必要とせずに、サーバから任意のファイルをダウンロードできる。その結果として、ハッシュ化されたパスワード／LDAP 認証情報／API キーを取り込んだ、サーバ・コンフィグ・ファイル (serverconfig.xml) などの機密データが流出する恐れがある。

この脆弱性が特に深刻な理由は、ハードコードされたキーと伴に保存されている、暗号化されたコンフィグに関する機密情報へのアクセスが、攻撃者に提供されてしまう点である。Sunkavally の説明によると、「SimpleHelp のコンフィグに応じて攻撃者は、様々なファイル内のあらゆる機密情報にアクセスし得る。不正アクセスの恐れがあるファイルに関連するものには、LDAP 認証情報／OIDC クライアントの秘密情報／API キー／MFA に使用される TOTP シードなどがある」という。

CVE-2024-57728 (CVSS 7.2)：任意のファイル・アップロードによるリモート・コード実行

管理者権限を持つ認証済みの攻撃者に、任意のファイル・アップロードを許し、ホストマシン上でのリモート・コード実行を引き起こす可能性のある脆弱性。その悪用に成功した攻撃者は、リバース・シェルなどの悪意のスクリプトを、cron タブ経由で Linux サーバ上に展開できる。また、Windows システム上の実行可能ファイルの上書きも可能になる。

Sunkavally は、「Linux サーバの場合、この脆弱性を悪用する攻撃者は、cron タブ・ファイルをアップロードし、リモート・コマンドを実行できる。その一方で、Windows サーバの場合は、実行可能ファイルやライブラリの上書きを可能にする」と述べている。

Source: Horizon3.ai

CVE-2024-57726 (CVSS 9.9) 技術者から管理者への特権昇格

SimpleHelp におけるバックエンドの認証チェックの欠落により、低権限の技術者としてアクセスする攻撃者は、特定のネットワーク・コールを細工することで、管理者権限への昇格の可能性を得る。その結果として、特権昇格に成功した攻撃者は、ファイル・アップロードの脆弱性を悪用して、サーバを完全に制御する可能性を手にする。

ーーーーー

これらの脆弱性に対して脆弱な、SimpleHelp のバージョンは 5.5.8／5.4.10／5.3.9 未満である。SimpleHelp のバージョンを特定する際には、”/allversions” エンドポイントへのクエリー送信もしくは、HTTP サーバ・ヘッダーの検査を実施する。

Sunkavally が警告するのは、「これらの脆弱性は、悪用や逆解析が容易に出来てしまう。したがって、すでに攻撃者が、悪用している可能性も否定できない」という点である。

ユーザーに強く推奨されるのは、これらのリスクを軽減するために、速やかに SimpleHelp バージョン 5.5.8／5.4.10／5.3.9 にアップグレードすることである。

Horizon3.ai のリモート・サポート・ツールの脆弱性が FIX しました。このツールでは、ユーザーからの入力が無くても、オンライン上の技術者によるクライアント・マシンとのインタラクトが可能とのことです。ご利用のチームは、ご注意ください。よろしければ、2023/04/18「SimpleHelp というリモート・サポート製品を悪用：イランの MuddyWater の戦術を暴露」も、ご参照ください。そのときには、イランの APT に悪用されたとのことです。