CVE-2024-57727

Path traversal não autenticado no servidor SimpleHelp (≤5.5.7) permite baixar qualquer arquivo do host via requisição HTTP manipulada, incluindo o serverconfig.xml com hashes de senha do administrador e de técnicos. É o elo inicial de uma cadeia de três falhas descobertas pela Horizon3.ai (junto com CVE-2024-57726 e CVE-2024-57728) que, combinadas, levam a RCE completo no servidor e nas máquinas gerenciadas — por isso está na KEV da CISA com exploração confirmada.

A falha é um path traversal clássico (CWE-22) em um dos endpoints HTTP do servidor SimpleHelp, que serve arquivos estáticos/configuração sem autenticação nem sanitização adequada de sequências de travessia de diretório. Isso permite escapar da raiz web esperada e ler qualquer arquivo legível pelo processo do servidor no filesystem do host.

O alvo mais valioso é serverconfig.xml, na pasta de configuração, que guarda os hashes das senhas da conta SimpleHelpAdmin e das contas de técnico locais. Dependendo de como a instância está configurada, o mesmo mecanismo expõe também credenciais LDAP, client secrets OIDC, API keys e seeds TOTP usadas para MFA. A Horizon3.ai observa que logs e segredos são 'criptografados', mas com uma chave hardcoded no binário — ou seja, a criptografia não impede um atacante que já conhece essa chave de decifrar o conteúdo.

O vetor CVSS oficial citado (9.1, com I:H) diverge do que a Horizon3.ai atribuiu à mesma falha isoladamente (7.5, essencialmente C:H). A diferença provavelmente reflete o impacto potencial em cadeia (acesso a credenciais que viabilizam escrita/RCE via CVE-2024-57728) versus o impacto direto da leitura de arquivo em si — vale entender essa distinção ao priorizar.

O vetor é rede, sem autenticação e sem interação do usuário: uma requisição HTTP crafted com sequências de travessia contra o servidor SimpleHelp exposto já é suficiente para exfiltrar arquivos arbitrários. Não há pré-condição de configuração especial — qualquer instância acessível na internet com versão vulnerável é alvo, embora servidores restritos por IP de login ou não expostos publicamente tenham risco reduzido segundo o próprio fornecedor.

Na prática, o ataque costuma seguir uma cadeia: o atacante lê serverconfig.xml, obtém hashes/segredos, quebra ou decifra credenciais (usando a chave hardcoded, quando aplicável) e autentica como técnico ou administrador. A partir daí, encadeia com CVE-2024-57726 (escalonamento de privilégio de técnico para admin, por falta de checagem de autorização) e/ou CVE-2024-57728 (upload arbitrário de arquivo levando a RCE como admin) para tomar o servidor e, potencialmente, as máquinas clientes conectadas via acesso não assistido.

A CISA confirma exploração ativa (entrada na KEV, adicionada em 13/02/2025, prazo de correção 06/03/2025) e referencia um advisory conjunto (AA25-163a) sobre atores explorando SimpleHelp. Existem módulo Metasploit, template Nuclei e PoC pública, o que baixa a barreira técnica — a Horizon3.ai já classificava a falha como 'trivial de reverter e explorar'.

Atualizar é a única correção completa: SimpleHelp 5.5.8 ou posterior para o ramo 5.5; patch dedicado para quem está em 5.4.10 (substituir lib/shelp-jar-with-dependencies.jar pelo arquivo do fornecedor, SHA1 b83006f0ddf4439623d4f8015bbcadda45f9475b); patch dedicado para 5.3.9 (substituir secure_utils.jar, secure_nlink.jar e secure_shelp.jar pelo pacote do fornecedor, SHA1 do ZIP c490c1d715bac726d2414022c7d9afef5534566d). Após aplicar o patch, verificar a linha de log do servidor confirmando a versão e o patch aplicado.

Como o arquivo de configuração pode já ter sido exfiltrado antes da correção, o patch por si só não neutraliza um comprometimento anterior: o próprio fornecedor recomenda trocar a senha do Administrator, trocar senhas de contas de técnico locais (as que não autenticam via serviço externo como AD/LDAP) e restringir os IPs permitidos para login de técnico/administrador. Desabilitar a conta SimpleHelpAdmin e migrar toda autenticação para um serviço federado (LDAP/AD) é o controle compensatório citado pelo fornecedor como suficiente para considerar um servidor não comprometido mesmo sob ataque.

Se a atualização imediata não for viável, restringir o acesso de rede ao servidor SimpleHelp (não expor a interface de gerenciamento diretamente à internet, allowlist de IP) é mitigação real, não cosmética — mas não substitui o patch, porque não impede leitura de arquivos por quem já tem acesso de rede permitido. Rotação de senha sem atualizar a versão não resolve, pois a falha de path traversal continua ativa e pode ser reexplorada para capturar novas credenciais.

A versão do servidor pode ser verificada no endpoint /allversions ou no header HTTP Server; qualquer build anterior a 5.5.8/5.4.10/5.3.9 (antes de 2025) é considerada altamente exploitável pela Horizon3.ai. O fornecedor lista como indicador de comprometimento logins de técnico partindo de IPs inesperados, visíveis no log do servidor na linha '[Authentication] Valid tech connection attempt ... [ProxyServer] Incoming IP identified as ...'; um servidor que não foi reiniciado e não teve logins de técnico no período suspeito tende a não ter sido comprometido, segundo o próprio fornecedor.

Nenhuma das fontes consultadas publica o path exato explorado na travessia (a Horizon3.ai reteve detalhes técnicos deliberadamente para atrasar exploração por script kiddies), então não há uma assinatura de requisição HTTP confirmada para busca em log — a existência de template Nuclei e módulo Metasploit sugere que esses detalhes circulam publicamente, mas não foram verificados nas fontes usadas aqui.