CVE-2026-48558: SimpleHelp OIDC 인증 우회

[!WARNING] 이 코드는 교육 및 연구 목적으로만 "있는 그대로" 제공됩니다. 프로덕션 시스템, 공유 환경 또는 승인되지 않은 대상에서 이 PoC를 사용하지 마십시오.

• 이 익스플로잇은 Chrome 렌더러 샌드박스를 완전히 손상시킬 수 있는 심각한 원격 코드 실행(RCE) 취약점(CVE-2026-6307)을 시연합니다.
• 이 코드를 실행하거나 호스팅할 경우, 악용 시 안티바이러스 탐지, 보안 모니터링 경고 또는 법적 결과가 발생할 수 있습니다.
• 저자와 저장소 관리자는 이 코드로 인한 손상, 오용 또는 불법 활동에 대해 어떠한 책임도 지지 않습니다.
• 승인된 격리된 실험실 환경에서만 독점적으로 사용하십시오. 방어 연구, 취약점 분석 및 블루팀 테스트 전용입니다.

저자: J4ck3LSyN

---

설명

SimpleHelp 5.5.15 이하 및 6.0 프리릴리스 버전은 OpenID Connect(OIDC) 인증 흐름에 심각한 인증 우회 취약점(CVE-2026-48558)을 포함합니다.

OIDC 인증이 구성된 경우, 서버는 암호화 서명을 확인하지 않고 ID 토큰(ID Token / JWT)을 수락합니다. 원격의 인증되지 않은 공격자는 임의의 클레임(그룹 멤버쉽 포함)을 가진 토큰을 위조하여 권한 있는 Technician 사용자를 생성하고 인증할 수 있습니다. 이는 영향을 받는 구성에서 MFA를 우회할 수도 있습니다. 사용자 상호 작용이 필요하지 않습니다.

• CVSS: ~9.8-10.0 (심각)
• 영향: 전체 Technican 접근 → 관리 대상 엔드포인트 원격 제어, 스크립트 실행, 자격 증명 접근, 지속성
• CISA KEV: 2026년 6월 29일 추가됨
• 실제 악용: 야생에서 관찰됨 (예: TaskWeaver 로더 + Djinn Stealer 배포)

기술 세부 정보

근본 원인은 SimpleHelp의 OIDC 토큰 검증 로직에 있습니다:

• JWT 서명 확인 적용 실패 (alg: none 작동, 잘못된 서명 거부되지 않음)
• 특정 흐름에서 iss, aud, 및 기타 클레임에 대한 검증 부족