CVE-2026-48558：SimpleHelp OIDC 认证绕过

[!WARNING] 此代码按“原样”提供，仅用于教育和研究目的。 请勿在生产系统、共享环境或任何未经授权的目标上使用此 PoC。

• 此漏洞利用演示了一个严重的远程代码执行（RCE）漏洞（CVE-2026-6307），可完全攻破 Chrome 渲染器沙箱。
• 运行或托管此代码可能触发防病毒检测、安全监控警报，若被误用还可能导致法律后果。
• 作者和仓库维护者对此代码造成的任何损害、误用或非法活动不承担任何责任。
• 仅在获得适当授权的隔离实验室环境中使用。 仅用于防御性研究、漏洞分析和蓝队测试。

作者：J4ck3LSyN

---

描述

SimpleHelp 版本 5.5.15 及更早版本以及 6.0 预发布版本在 OpenID Connect（OIDC）认证流程中存在一个严重的认证绕过漏洞（CVE-2026-48558）。

当配置了 OIDC 认证时，服务器接受身份令牌（ID Token / JWT）而无需验证其加密签名。远程未认证攻击者可以伪造一个带有任意声明（包括组成员身份）的令牌，从而创建并认证为具有特权的 Technician 用户。在受影响配置中，这还可绕过 MFA。无需用户交互。

• CVSS：~9.8-10.0（严重）
• 影响：完全的技术员权限 → 对受管端点的远程控制、脚本执行、凭据访问、持久化
• CISA KEV：添加于 2026 年 6 月 29 日
• 活跃利用：已在野外观察到（例如，部署 TaskWeaver 加载器 + Djinn Stealer）

技术细节

根本原因在于 SimpleHelp 的 OIDC 令牌验证逻辑：

• 未强制进行 JWT 签名验证（alg: none 有效；无效签名不被拒绝）。
• 在某些流程中，对 iss、aud、exp 及其他声明的验证不足。
• 当 TechnicianGroup 配置为“允许组认证登录”时，伪造的令牌授予该组成员身份将导致完全认证的会话。
• 攻击针对 OIDC 回调端点（通常是 POST /auth/oidc/callback 或类似路径），提交伪造的 id_token。

这使得攻击者无需凭据即可冒充任意用户并提升至技术员权限。

入侵指标（IoCs）

• 管理 → 技术员中出现具有可疑电子邮件/用户名的新技术员账户
• 服务器日志中来自未知来源的登录事件和配置更改
• 日志位于：/opt/SimpleHelp/logs/server.log（以及带日期的子目录）
• 受管端点上出现意外的 jquery.js / Node.js 执行（后利用阶段）

缓解措施 / 补丁

立即打补丁：

• 5.5 分支：升级至 5.5.16
• 6.0 分支：升级至 6.0 RC2 或更高版本

官方更新：SimpleHelp 安全更新 2026-05

临时缓解措施（打补丁前）：

• 完全禁用 OIDC 认证
• 通过防火墙/VPN/IP 白名单限制服务器访问
• 监控并审计技术员账户和日志

---

概念验证

参见本仓库中的 poc.py。

要求

• Python 3.6+
• requests、PyJWT

设置

python3 -m venv venv
source venv/bin/activate # (.fish) if your swimming
python3 -m pip install --upgrade pip
python3 -m pip install requests PyJWT

使用示例

python3 poc.py -u https://target.example.com \
  -i https://accounts.google.com \
  -a "your-configured-client-id" \
  -s attacker-sub \
  -e [email protected] \
  -n "Evil Technician" \
  -g "Technicians,Admins"

完整的参数文档在脚本中。

注意：该脚本包含自动回调端点发现，并支持手动覆盖。
仓库：https://github.com/J4ck3LSyN-Gen2/CVE-2026-48558