CVE-2024-57726
SimpleHelp Missing Authorization Vulnerability
Beschreibung
CVE-2024-57726 ist eine Schwachstelle der Stufe CRITICAL durch fehlende Autorisierung in der Remote-Support-Software SimpleHelp (Versionen 5.5.7 und früher) mit einem CVSS-3.1-Score von 9.9. Die Schwachstelle erlaubt gering privilegierten Techniker-Konten, API-Keys mit übermäßigen Berechtigungen zu erzeugen; mit diesen API-Keys lässt sich anschließend zur Server-Admin-Rolle eskalieren. In Verbindung mit der zugehörigen Path-Traversal-Schwachstelle CVE-2024-57728 verwandelt dies einen Brückenkopf aus jedem Techniker-Konto in vollständige Remote Code Execution auf dem SimpleHelp-Server. CISA hat CVE-2024-57726 am 24. April 2026 in den KEV-Katalog aufgenommen, mit Patch-Frist 8. Mai 2026, nachdem Microsoft und Trend Micro berichtet hatten, dass das SimpleHelp-CVE-Cluster vom Storm-1175-Akteur und von DragonForce-Ransomware-Operatoren missbraucht wird. Der EPSS-Score von 0.460 (98. Perzentil) spiegelt anhaltende, weit verbreitete Ausnutzung wider.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| simple-help | simplehelp | < 5.5.8 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Referenzen
- https://simple-help.com/kb---security-vulnerabilities-01-2025#security-vulnerabilities-in-simplehelp-5-5-7-and-earlier(Release Notes)
- https://www.horizon3.ai/attack-research/disclosures/critical-vulnerabilities-in-simplehelp-remote-support-software/(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-57726(US Government Resource)
- https://www.microsoft.com/en-us/security/blog/2026/04/06/storm-1175-focuses-gaze-on-vulnerable-web-facing-assets-in-high-tempo-medusa-ransomware-operations/(Technical Description)
- https://www.trendmicro.com/vinfo/us/security/news/ransomware-spotlight/ransomware-spotlight-dragonforce(Third Party Advisory)
Schwachstellentyp
CWE-862: Fehlende Autorisierung
Fehlende Autorisierung tritt auf, wenn ein Produkt keine Autorisierungsprüfung durchführt, wenn ein Akteur versucht, auf eine Ressource zuzugreifen oder eine Aktion auszuführen. Während das Produkt möglicherweise eine Authentifizierung zur Identitätsprüfung durchführt, prüft es nicht, ob der authentifizierte Akteur tatsächlich berechtigt ist, die angeforderte Aktion auszuführen. In SimpleHelp ≤ 5.5.7 authentifiziert der API-Key-Erstellungs-Endpunkt zwar den Aufrufer, prüft aber nicht dessen Rolle: Ein Techniker — eigentlich nur mit eingeschränktem operativen Zugriff vorgesehen — kann die Erstellung eines API-Keys mit Admin-Scopes anfordern, die der Techniker eigentlich nicht zuweisen darf. Der so erzeugte API-Key kann anschließend bei nachfolgenden Anfragen vorgelegt werden, um Admin-only-Aktionen durchzuführen — die rollenbasierte Zugriffskontrolle wird damit faktisch vollständig umgangen.
Mehr erfahren: CWE-862 — Fehlende Autorisierung
Auswirkungsanalyse
CVE-2024-57726 hat einen CVSS-3.1-Score von 9.9 (CRITICAL) mit dem Vektor AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Jede Metrik ist alarmierend: netzwerkbasiert erreichbar, niedrige Komplexität, nur niedrige Privilegien erforderlich, keine Benutzerinteraktion und Scope:Changed — die wirkungsstärkste CVSS-3.1-Konfiguration unterhalb vollständig unauthentifiziert. Die Scope:Changed-Bewertung ist entscheidend, weil sie ausdrückt, dass die Schwachstelle einen Akteur eine Sicherheitsgrenze überschreiten lässt: Ein eigentlich eng eingeschränktes Techniker-Konto kann Anmeldedaten erzeugen, die Admin-Authority auf dem SimpleHelp-Server selbst gewähren. Mit High-Wirkung auf Vertraulichkeit, Integrität und Verfügbarkeit erlangt jeder Angreifer, der ein Techniker-Konto kompromittiert — durch Phishing, Wiederverwendung von Anmeldedaten oder Insider-Missbrauch — vollständige administrative Kontrolle über die SimpleHelp-Bereitstellung, einschließlich aller gespeicherten Anmeldedaten, Audit-Daten und persistenten Verbindungen zu verwalteten Remote-Endpunkten. In Ransomware-Operationen wie denen von DragonForce und Storm-1175 war dieser Admin-Brückenkopf das Tor zu Cross-Customer-Kompromittierungen in Managed-Service-Provider-Umgebungen.
Exploit-Reifegrad
Aktive Ausnutzung: CISA hat CVE-2024-57726 am 24. April 2026 mit Patch-Frist 8. Mai 2026 in den KEV-Katalog aufgenommen. Öffentliche Exploits und detaillierte Analysen: Horizon3.ai veröffentlichte eine umfassende technische Offenlegung — siehe "Critical Vulnerabilities in SimpleHelp Remote Support Software" — und das SimpleHelp-Hersteller-Advisory ist unter simple-help.com verfügbar. Verbindung zu Bedrohungsakteuren: Microsoft dokumentiert Storm-1175, der verwundbare SimpleHelp-Instanzen für hochfrequente Medusa-Ransomware-Operationen missbraucht (Microsoft Security Blog); Trend Micro verknüpft das SimpleHelp-CVE-Cluster mit der DragonForce-Ransomware-Familie. Ausnutzungswahrscheinlichkeit: Mit einem EPSS-Score von 0.460 (98. Perzentil) bewertet das Modell die Wahrscheinlichkeit fortgesetzter Ausnutzung als nahezu sicher. Verkettungspotenzial: CVE-2024-57726 ist die Privilege-Escalation-Hälfte der Kette — die größte Wirkung entfaltet sich in Kombination mit CVE-2024-57728 (Zip-Slip-Path-Traversal), die Admin-Authority in Remote Code Execution auf dem SimpleHelp-Host überführt. Verteidiger müssen alle drei SimpleHelp-Januar-2025-Advisories gemeinsam patchen (CVE-2024-57726, -57727, -57728), um die vollständige Ausnutzungskette zu schließen.
Behebung
- Auf SimpleHelp 5.5.8 oder später aktualisieren. Dies ist der offizielle Fix von SimpleHelp und behebt CVE-2024-57726 zusammen mit CVE-2024-57727 und CVE-2024-57728. Upgrade-Schritte und Konfigurationsänderungen nach dem Upgrade sind im SimpleHelp-Sicherheits-Advisory dokumentiert.
- Alle SimpleHelp-API-Keys auditieren und rotieren. Da die Schwachstelle die nicht autorisierte Erstellung von Admin-Scope-API-Keys erlaubt hat, muss jeder bestehende API-Key auf einem zuvor verwundbaren Server als nicht vertrauenswürdig gelten. Widerrufen Sie alle Keys und stellen Sie nach dem Upgrade neue Keys nur für verifizierte Workflows aus.
- Techniker- und Admin-Konten auditieren. Prüfen Sie die vollständige SimpleHelp-Benutzerliste auf unbekannte Konten, jüngste Rollenwechsel oder verdächtige Admin-Beförderungen. Setzen Sie Techniker-Passwörter zurück, erzwingen Sie MFA, wo verfügbar, und entfernen Sie nicht genutzte Konten.
- Persistenz suchen. Inspizieren Sie den SimpleHelp-Server auf neu erstellte Admin-Konten, geplante Aufgaben oder via verkettetem CVE-2024-57728 Zip Slip nach Januar 2025 abgelegte Dateien. Microsoft- und Trend-Micro-Kompromittierungsindikatoren für Storm-1175 und DragonForce sollten auf Netzwerk-Logs für den Server und alle verwalteten Endpunkte angewendet werden.
- Langfristige Härtung. Wenden Sie das CWE-862-Mitigationsprinzip an — jede privilegierte Aktion muss gegen den Autorisierungs-Kontext des Aufrufers geprüft werden, nicht nur gegen die Authentifizierung. Beschränken Sie die SimpleHelp-Admin-/Techniker-Konsole auf interne Netze oder VPN und segmentieren Sie den SimpleHelp-Server von sensiblen Unternehmens-Assets, damit eine Kompromittierung keine sofortige laterale Bewegung ermöglicht.
Technische Details
CVE-2024-57726 ist eine CWE-862-Schwachstelle durch fehlende Autorisierung im API-Key-Erstellungs-Endpunkt von SimpleHelp ≤ 5.5.7. Der Endpunkt authentifiziert den aufrufenden Benutzer korrekt (Identitätsprüfung), prüft jedoch nicht, ob dessen Rolle berechtigt ist, dem neuen API-Key die angeforderten Scopes zuzuweisen. Ein gering privilegiertes Techniker-Konto kann daher die Erstellung eines API-Keys mit Admin-Scopes anfordern — und der Server gibt einen verwendbaren Key zurück. Nachfolgende API-Anfragen mit diesem Key werden unter den erhöhten Scopes verarbeitet, wodurch das Techniker-Konto faktisch zu einem Server-Admin-Äquivalent wird. Der CVSS-3.1-Vektor AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H drückt die Schwere aus: Die Aktion ist netzwerkbasiert erreichbar bei niedriger Angriffskomplexität, erfordert nur eine gering privilegierte authentifizierte Sitzung, keine Benutzerinteraktion und überschreitet eine Sicherheitsgrenze (Scope:Changed) — mit High-Wirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. In typischer Ausnutzung erlangt der Angreifer zunächst ein Techniker-Konto durch Phishing, Wiederverwendung von Anmeldedaten oder Insider-Missbrauch, nutzt dann CVE-2024-57726, um einen Admin-Scope-API-Key zu prägen, und verkettet schließlich CVE-2024-57728, um eine bösartige Datei in einen server-ausführbaren Pfad zu schreiben — Endzustand: Remote Code Execution als SimpleHelp-Service-Konto.
Häufig gestellte Fragen
Wird CVE-2024-57726 aktiv ausgenutzt?
Ja. CISA hat CVE-2024-57726 am 24. April 2026 in den KEV-Katalog aufgenommen, und sowohl Microsoft als auch Trend Micro haben das SimpleHelp-Januar-2025-CVE-Cluster mit aktiven Ransomware-Operationen von Storm-1175 / DragonForce verknüpft. Der EPSS-Score von 0.460 (98. Perzentil) signalisiert nahezu sichere fortgesetzte Ausnutzungsaktivität.
Welche Produkte sind von CVE-2024-57726 betroffen?
SimpleHelp-Remote-Support-Software-Versionen 5.5.7 und früher sind verwundbar. Der Fix wird in SimpleHelp 5.5.8 ausgeliefert.
Wie behebe ich CVE-2024-57726?
Aktualisieren Sie auf SimpleHelp 5.5.8 oder später, widerrufen und ersetzen Sie alle API-Keys aus zuvor verwundbaren Servern, auditieren Sie Techniker-/Admin-Konten (MFA, Passwortrotation, Entfernen nicht genutzter Konten) und patchen Sie die zugehörigen CVE-2024-57727 und CVE-2024-57728 gleichzeitig, um die vollständige Ausnutzungskette zu schließen.
Wie schwerwiegend ist CVE-2024-57726?
CVE-2024-57726 ist als CRITICAL eingestuft (CVSS-3.1-Score 9.9) mit Scope:Changed und voller High-Wirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Zusammen mit KEV-Listung, EPSS-98.-Perzentil-Wahrscheinlichkeit und Ransomware-Akteurs-Missbrauch zählt sie zu den höchstpriorisierten Schwachstellen im SimpleHelp-Januar-2025-Advisory-Cluster.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.