SimpleHelp - CVE-2026-48558
Date de publication :
Date de mise à jour :
Il s'agit d'une vulnérabilité de contournement de l’authentification dans SimpleHelp.
SimpleHelp est une solution de gestion à distance et de support technique permettant aux administrateurs d’accéder et de gérer des postes à distance au sein d’une infrastructure.
La vulnérabilité provient d’une absence de vérification de la signature cryptographique des jetons OIDC lors du processus d’authentification, ce qui permet l’acceptation de jetons falsifiés contenant des informations d’identité arbitraires.
Un attaquant distant non authentifié peut exploiter cette faille pour soumettre un jeton forgé et obtenir une session authentifiée avec des privilèges élevés, pouvant également contourner l’authentification multifacteur selon la configuration.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
• Élévation de privilèges
• Contournement de la politique de sécurité
• Atteinte à la confidentialité des données
• Atteinte à l'intégrité des données
Exploitation
CWE-347 : Improper Verification of Cryptographic Signature
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : En attente d’information
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Solutions ou recommandations
• Mise à jour vers SimpleHelp version 6.0 RC2 ou ultérieure