CVE-2024-57726

Falha de controle de autorização no SimpleHelp (remote support software) que permite que uma conta de técnico com privilégios baixos crie chaves de API com permissões de administrador, escalando para o papel de admin do servidor. O CVSS de 9.9 reflete o pior cenário: como parte de uma cadeia de três CVEs divulgadas juntas (CVE-2024-57726/57727/57728), ela é usada por operadores de ransomware para comprometer totalmente o servidor SimpleHelp e, a partir dele, as máquinas de clientes conectadas.

A vulnerabilidade é uma missing authorization (CWE-862): algumas funções administrativas do backend do SimpleHelp não verificam se o chamador tem, de fato, permissão de admin antes de executar a ação. Um técnico autenticado com privilégios baixos pode, através de uma sequência específica de chamadas ao servidor (via console de técnico), criar uma API key configurada com permissões excessivas — equivalentes às de admin — mesmo sem ter esse papel atribuído.

A chave de API gerada dessa forma é aceita normalmente pelo servidor para autenticação, permitindo que o técnico se autentique novamente como se fosse o SimpleHelpAdmin ou um técnico com grupo de administrador. Não há exploração de memória nem injeção de código nessa etapa isolada — é puramente um erro de checagem de autorização no fluxo de gerenciamento de chaves de API.

O impacto descrito no CVSS (Scope Change, S:C) existe porque um admin no SimpleHelp pode acessar e reconfigurar qualquer máquina cliente conectada ao servidor, não só aquelas sob a carteira original do técnico comprometido — daí o salto de um bug de privilégio limitado para 'admin do servidor com acesso a toda a base de endpoints'.

A Horizon3.ai, que descobriu e reportou a falha, junto com CVE-2024-57727 (path traversal não autenticado, permitindo baixar serverconfig.xml com hashes de senha e segredos) e CVE-2024-57728 (upload arbitrário de arquivo levando a RCE como admin), documentou que as três vulnerabilidades formam uma cadeia completa: vazamento de credenciais → escalonamento de técnico para admin (esta CVE) → RCE no host do servidor.

O pré-requisito real é ter uma conta de técnico válida e autenticada no servidor SimpleHelp (PR:L no vetor CVSS) — a falha não é explorável por um atacante totalmente anônimo isoladamente. Isso pode vir de credenciais legítimas roubadas/vazadas, senhas fracas em contas de técnico configuradas para login local, ou — de forma mais crítica — do encadeamento com CVE-2024-57727, que permite a um atacante não autenticado baixar o serverconfig.xml contendo hashes de senha de técnicos e outros segredos armazenados, viabilizando o acesso inicial necessário para esta falha.

Com acesso de técnico, o atacante envia a sequência de chamadas ao servidor que cria a API key com permissões excessivas, autentica-se com ela como admin, e a partir daí pode explorar CVE-2024-57728 para upload arbitrário de arquivo e execução remota de código no host do servidor (por exemplo, crontab malicioso em Linux ou sobrescrita de binários/bibliotecas em Windows), além de reconfigurar ou acessar diretamente qualquer máquina cliente conectada via acesso não assistido.

Há exploração confirmada em ambiente real: a CVE está no catálogo KEV da CISA, e a Microsoft atribui o uso desse conjunto de CVEs (57726/57727/57728) ao ator Storm-1175, responsável por campanhas de ransomware Medusa que armam vulnerabilidades N-day rapidamente — em alguns casos assumindo controle total e implantando ransomware em até 24 horas após a exploração inicial.

A correção do fornecedor é a atualização de versão, e existe patch específico por branch: SimpleHelp 5.5.8 (ou posterior) para a linha 5.5.x, patch para 5.4.10 (arquivo lib/shelp-jar-with-dependencies.jar, SHA1 b83006f0ddf4439623d4f8015bbcadda45f9475b) para quem está na 5.4.10, e patch para 5.3.9 (arquivos secure_utils.jar, secure_nlink.jar, secure_shelp.jar, SHA1 do ZIP c490c1d715bac726d2414022c7d9afef5534566d) para quem está na 5.3.9. A versão pode ser verificada no endpoint /allversions do servidor.

Como o fornecedor alerta que o arquivo de configuração pode ter sido exposto via a falha correlata de path traversal (CVE-2024-57727) mesmo antes de qualquer exploração desta CVE especificamente, a recomendação após atualizar é trocar a senha do SimpleHelpAdmin e de todas as contas de técnico com login local, e restringir os IPs de origem permitidos para login de técnico/admin. Servidores que não tiveram login de técnico nem foram reiniciados durante a janela de exposição, e que usam autenticação exclusivamente via LDAP/AD com SimpleHelpAdmin desabilitado, têm baixa probabilidade de comprometimento segundo o próprio fornecedor.

Restringir apenas a exposição de rede do painel administrativo não é mitigação suficiente isoladamente, porque a falha é explorada por uma conta de técnico já autenticada — se essa conta tiver acesso de rede ao servidor (o cenário normal de operação), o controle de IP para admin não impede a escalação via API key. Não há mitigação de configuração publicada pelo fornecedor que neutralize a falha sem aplicar o patch; a única correção real é atualizar/patchear.

O indicador mais direto e confiável é a versão do servidor: qualquer build anterior a 5.5.8/5.4.10/5.3.9 (antes de janeiro de 2025) é considerado explorável — verificável no endpoint /allversions ou no header HTTP Server. Não há uma assinatura de exploração publicamente documentada específica para a criação indevida de API keys; como indicador indireto, o próprio fornecedor recomenda revisar logs do servidor por logins de técnico vindos de IPs ou horários inesperados (a linha de log inclui usuário e IP de origem via '[Authentication] Valid tech connection attempt...'), criação de API keys ou contas de técnico fora do processo normal de administração, e mudanças de permissão/grupo não solicitadas — sinais genéricos de comprometimento, não uma prova específica de exploração desta CVE isoladamente.