Súlyos biztonsági hibák keserítik az N-able életét

Drasztikus lépésre kényszerült az N-able miután súlyos, nulladik napi biztonsági hibákra derült fény egyes megoldásaiban.
 

Sean Bales biztonsági kutató vasárnap egy GitHub repot tett nyilvánossá, amin olyan információkat osztott meg, amik révén több mint 30 nulladik napi biztonsági hibára derült fény az N-able N-central kapcsán. Ráadásul egy Able2Shell nevű proof-of-concept exploit csomag is letölthetővé vált, aminek révén számos biztonsági hiba könnyedén kihasználható lett.
 
A fentiek tükrében és a kockázatok értékelése után az N-able úgy döntött, hogy inkább leállítja a hosztolt N-central szolgáltatását (az amerikai, európai és ázsiai régiókban egyaránt), és egyúttal arra kéri az ügyfeleit, hogy ugyanezt tegyék az on-premise módon, helyben futtatott példányokkal is.
 
A gyártó pontosan tisztában van azzal, hogy e lépései jelentős hatást gyakorolhatnak az érintett szervezetek informatikai működésére, ugyanakkor kifejtette, hogy az ügyfelek IT-környezeténének védelme élvezi a legnagyobb prioritást.
 
A biztonsági kutató úgy nyilatkozott, hogy a sérülékenységek az N-central Appliance 2026.4.0.31 verzióját biztosan veszélyeztetik, de számos (vagy akár az összes) sebezhetőség korábbi verziókban is jelen lehet. A sérülékenységek összesített kockázati listáján megtalálható a jogosulatlan kódfuttatás, a jogosulatlan parancsvégrehajtás, valamint az XSS, a directory traversal és az XXE (XML external entity) befecskendezéses támadások lehetősége is. Ezek révén a támadó akár rendszergazdai fiókot is létrehozhat magának, hogy aztán adminisztratív hozzáféréssel rendelkezzen az N-central menedzsment felületéhez.
 
Elmérgesedett a viszony
 
Az N-able úgy fogalmazott, hogy a kritikus sebezhetőségeket a biztonsági kutató felelőtlenül kommunikálta és publikálta. Erre válaszul Sean Bales közölte, hogy a lépését negatív tapasztalatai vezérelték. Elmondása szerint 5-6 hónappal korábban már jelzett két jogosulatlan távoli kódfuttatásra lehetőséget adó hibát az N-able más alkalmazásával kapcsolatban, azonban ezekre érdemben azóta sem reagált a vállalat. Többszöri e-mailes megkeresés után sem kapott választ. Ez pedig arra sarkalta, hogy most más módon hívja fel a figyelmet a sebezhetőségekre.
 
Bales szerint a GitHub-os publikálás óta az N-able elnök-vezérigazgatója, és a műszaki igazgató is megkereste, akik azt kérték tőle, hogy távolítsa el az exploitot a GitHubról, és működjön együtt a céggel.
 
Az N-able nem közölte, hogy mikor állhat helyre a hosztolt N-central szolgáltatás működése, illetve, hogy mikor válhatnak letöltetővé a hibajavítások.