N-able вимкнула хмарну N-central після повідомлень про понад 30 вразливостей
N-able відключила хмарні середовища N-central після публікації понад 30 імовірних вразливостей нульового дня
Компанія N-able тимчасово відключила хмарні середовища платформи N-central у регіонах Америки, Європи та Азійсько-Тихоокеанського регіону. Клієнтам, які використовують локально встановлені сервери N-central, порадили також вимкнути їх до подальших повідомлень. Рішення ухвалили після того, як дослідник безпеки Шон Бейлз оприлюднив понад 30 імовірних вразливостей нульового дня та приклади експлуатації частини з них.
Як повідомляє BBC News, Бейлз опублікував 8 листопада репозиторій Able2Shell на GitHub із proof-of-concept для виявлених проблем. За його словами, вразливості тестувалися на попередній версії N-central Appliance 2026.4.0.31, а більшість із них можуть зачіпати й попередні випуски програмного забезпечення.
Можливе захоплення систем
N-central є платформою віддаленого моніторингу та управління, якою керовані постачальники послуг і IT-команди користуються для адміністрування пристроїв та мереж клієнтів. Серед оприлюднених проблем дослідник назвав обхід автентифікації, розкриття облікових даних, довільний запис файлів, обхід каталогів, XSS, XXE та віддалене виконання коду.
Найсерйознішим Бейлз назвав ланцюг атаки, що нібито використовує неавтентифіковану XXE-вразливість у функції імпорту сервісів. За твердженням дослідника, вона може дати змогу викрасти довірену локальну сесію, скинути пароль облікового запису та виконувати команди на сервері від імені користувача nable. Він також заявив, що цей спосіб може створити активний обліковий запис Default Administrator із заданими атакувальником даними.
Компанія готує виправлення
N-able повідомила, що розробляє та перевіряє термінове виправлення. У компанії зазначили, що на цей час не виявили ознак активної експлуатації вразливостей або несанкціонованого доступу до даних. Класичне середовище N-central залишається недоступним, водночас сервіси Ecoverse, доступні через N-able Login, продовжують працювати.
Компанія не назвала строків відновлення N-central і планує публікувати оновлення кожні чотири години або раніше за появи нової інформації. Бейлз заявив, що не повідомляв N-able про ці вразливості до публікації, оскільки, за його твердженням, компанія раніше не виправила інші повідомлені ним проблеми в іншому продукті. N-able не відповіла на запит щодо цих заяв, надавши лише коментар про інцидент із N-central.
