SimpleHelp 的安全更新 < 5.5.8
critical Nessus 插件 ID 233191
语言：
简介
SimpleHelp 会受到多个漏洞的影响。描述
远程 Web 服务器上运行的 SimpleHelp 版本低于 5.3.9，或低于 5.4.10 的 5.4.x，或是低于 5.5.8 的 5.5.x。因此，该软件受到多个漏洞的影响：- 允许低权限技术人员以过多的权限创建 API 密钥。这些 API 密钥可用来将权限提升至服务器管理员角色。(CVE-2024-57726)
- 多种路径遍历漏洞，可让未经认证的远程攻击者通过构建的 HTTP 请求从 SimpleHelp 主机下载任意文件。这些文件包括含有各种机密和哈希用户密码的服务器配置文件。(CVE-2024-57727)
- 允许管理员用户通过上传构建的 zip 文件（即 zip slip），上传文件系统中任意位置的任意文件。这可被用于在 SimpleHelp 服务器用户的上下文中的主机上执行任意代码。(CVE-2024-57728)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级至 SimpleHelp 5.3.9、5.4.10、5.5.8 或更高版本以解决该问题另见
插件详情
严重性: Critical
ID: 233191
文件名: simplehelp_cve-2024-57726.nasl
版本: 1.2
类型: remote
系列: Web Servers
发布时间: 2025/3/21
最近更新时间: 2025/3/22
支持的传感器: Nessus
风险信息
VPR
风险因素: High
分数: 8.1
CVSS v2
风险因素: High
基本分数: 9
时间分数: 7.4
矢量: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:C
CVSS 分数来源: CVE-2024-57726
CVSS v3
风险因素: Critical
基本分数: 9.9
时间分数: 9.2
矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:F/RL:O/RC:C
漏洞信息
CPE: x-cpe:/a:simplehelp:simplehelp
必需的 KB 项: installed_sw/SimpleHelp
可利用: true
易利用性: Exploits are available
补丁发布日期: 2024/1/15
漏洞发布日期: 2024/1/15
CISA 已知可遭利用的漏洞到期日期: 2025/3/6