SimpleHelp היא תוכנת תמיכה מרחוק, מהסוג שטכנאי משתמש בו כדי להתחבר למחשב שלכם ולראות את המסך. בגרסאות 5.5.7 ומטה תוקף מהרשת, בלי שם משתמש ובלי סיסמה, היה יכול לבקש מהשרת של SimpleHelp קבצים שלא נועדו לו ולקבל אותם. בין הקבצים האלה גם קובצי ההגדרות של השרת, שמחזיקים סודות וסיסמאות של המשתמשים. הציון הוא 7.5, והחולשה נמצאת בקטלוג החולשות המנוצלות של CISA.
מה החולשה?
לשרת יש פונקציה שתפקידה להגיש קובץ לפי שם. אתם מבקשים קובץ, השרת מחבר את השם שביקשתם לתיקייה שבה הקבצים האלה יושבים, ומחזיר את מה שיצא. כל זה בסדר כל עוד השם שהגיע מבחוץ הוא באמת רק שם קובץ.
הבעיה היא שבשם של קובץ אפשר לכתוב גם הוראת ניווט. סימן של תיקייה אחת למעלה, שוב ושוב, ואתם כבר לא בתיקייה שהשרת התכוון אליה אלא בשורש המערכת, משם בוחרים כל קובץ שרוצים. לטכניקה הזאת קוראים Path Traversal, מעבר בין תיקיות, והרשומה מציינת שב-SimpleHelp נמצא לא מקרה אחד כזה אלא כמה.
מה שהופך את זה למשמעותי כאן הוא מה היה בקבצים. קובצי ההגדרות של השרת מחזיקים סודות שהמוצר צריך כדי לעבוד, וגם את הסיסמאות של מי שמנהל אותו. הסיסמאות לא שמורות שם כטקסט רגיל אלא בגרסה מעובדת שלהן, מה שנקרא ה-hash, אבל גרסה מעובדת היא נקודת פתיחה לניסיונות פיצוח ולא קיר.
מי מושפע?
כל התקנה של שרת SimpleHelp בגרסה שמתחת ל-5.5.8. ב-5.5.8 החולשה תוקנה.
בישראל המוצר הזה לא יושב אצל הגולש מרצונו. הוא מגיע למחשב דרך מי שנותן לו תמיכה: ספק שירות IT, חברת מיקור חוץ, הטכנאי של העסק. לכן מי שצריך לפעול כאן הוא הצד שמריץ את השרת, והקורא הפרטי מושפע דרכו. חולשה בכלי תמיכה מרחוק היא תמיד חולשה בעלת מכפיל, כי זה כלי שמעצם תפקידו מגיע להרבה מחשבים.
האם מנוצלת בפועל?
כן. החולשה נוספה ב-13 בפברואר 2025 לקטלוג ה-KEV של CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, והמועד שנקבע לגופים הפדרליים בארצות הברית היה 6 במרץ 2025.
הרשומה מפנה גם לפרסום של חברת המחקר Horizon3.ai, שהיא הגורם שחשף את החולשות האלה, ולדף של SimpleHelp עצמה שמתאר אותן.
מה עושים?
עדכנו את שרת SimpleHelp לגרסה 5.5.8 או מעליה. שימו לב שהעדכון הוא בצד השרת, לא ביישום שרץ אצל הלקוח, ולכן מי שאחראי עליו הוא מי שמריץ את השרת.
עדכון לבדו לא מספיק כאן, וזאת הנקודה שהכי קל לפספס. חולשה שמאפשרת לקרוא קבצים גורמת נזק ברגע הקריאה, והעדכון לא מחזיר את מה שיצא. אם השרת היה חשוף לאינטרנט בגרסה פגיעה, התייחסו לסודות שבקובצי ההגדרות ולסיסמאות המנהלים כאל מידע שאפשר שנחשף, והחליפו אותם.
אם אתם עסק שמקבל תמיכה מספק חיצוני, זאת שאלה אחת לשאול אותו: האם אתם מריצים SimpleHelp, ואם כן באיזו גרסה. ספק שמריץ 5.5.8 ומעליה ענה על השאלה.
לקריאה, ההודעה של SimpleHelp מתארת את מה שתוקן, והפרסום של Horizon3.ai מתאר איך זה נמצא.