Sicherheitsforscher haben mehr als 30 mutmaßliche Zero-Day-Sicherheitslücken öffentlich bekannt gegeben ,die N-able N-centralbetreffen , eine weit verbreitete Plattform für Fernüberwachung und -verwaltung (RMM).

Nach der Offenlegung nahm N-able seine gehosteten N-central-Umgebungen weltweit vom Netz und riet Kunden mit lokalen Installationen, ihre Server vorsorglich herunterzufahren.

Die Sicherheitslücken wurden vom Sicherheitsforscher Sean Bales zusammen mit Proof-of-Concept-Exploit-Code (PoC) unter dem Projektnamen „Able2Shell“veröffentlicht . Zu den Schwachstellen zählen Authentifizierungsumgehung, Offenlegung von Anmeldedaten, beliebiges Schreiben von Dateien, Verzeichnisüberquerung, Cross-Site-Scripting (XSS), XML External Entity (XXE)-Injektion, Rechteausweitung und Remote-Code-Ausführung (RCE).

Besonders besorgniserregend ist eine nicht authentifizierte XXE-Sicherheitslücke, die Berichten zufolge mit anderen Schwachstellen verkettet werden kann, um vertrauenswürdige Sitzungen zu stehlen, Kontopasswörter zurückzusetzen, Administratorkonten zu erstellen und Befehle auf betroffenen N-central-Servern auszuführen. Forscher berichteten zudem von Exploit-Ketten, mit denen sich die Ausführung von Code auf Root-Ebene erreichen lässt. Ein kompromittierter N-central-Server könnte es Angreifern zudem ermöglichen, Befehle auszuführen, bösartige Skripte zu installieren oder sich unbefugten Zugriff auf Endgeräte und Kundenumgebungen zu verschaffen, die über die RMM-Plattform verwaltet werden.

Zum Zeitpunkt der Erstellung dieses Artikels hat N-able erklärt, dass es keine Anzeichen für eine aktive Ausnutzung in Kundenumgebungen festgestellt hat und derzeit aktiv Hotfixes entwickelt und testet, um die offengelegten Sicherheitslücken zu beheben. Der Exploit-Code ist jedoch weiterhin öffentlich verfügbar.

Für Unternehmen, die N-able N-central einsetzen, werden den Kunden folgende sofortige Maßnahmen empfohlen:

• Identifizieren Sie alle gehosteten und lokal betriebenen N-central-Bereitstellungen innerhalb der Umgebung.
• Befolgen Sie die Empfehlungen von N-able zum Herunterfahren der lokal installierten N-central-Server und halten Sie diese offline, bis N-able bestätigt, dass sie sicher wieder online geschaltet werden können.
• Befolgen Sie die neuesten Anweisungen von N-able in der offiziellen Sicherheitsmitteilung (siehe Referenzen) bezüglich der Verfügbarkeit von Hotfixes, Anweisungen zur Behebung und der sicheren Wiederherstellung des Dienstes.
• Überprüfen Sie die Authentifizierungsprotokolle auf die Erstellung unerwarteter Administratorkonten und die Serverprotokolle auf Anzeichen für XXE-Ausnutzung, willkürliche Dateischreibvorgänge oder eine Ausweitung von Berechtigungen.
• Untersuchen Sie Hinweise auf die Ausführung verdächtiger Befehle, die von N-Central-Servern stammen, und überprüfen Sie verdächtige Fernverwaltungsaktivitäten sowie unerwartete Skriptbereitstellungen, die verwaltete Endpunkte und Kundenumgebungen betreffen.
• Überwachen Sie die ausgehende Netzwerkkommunikation aus der N-central-Infrastruktur auf anomale Aktivitäten.

Mögliche Indikatoren für verdächtige Aktivitäten und Möglichkeiten zur Bedrohungssuche

Kunden wird empfohlen, die folgenden verdächtigen Verhaltensweisen innerhalb ihrer N-central-Umgebung und der zugehörigen Infrastruktur zu überprüfen. Hierbei handelt es sich um Möglichkeiten zur Bedrohungssuche, nicht um bestätigte Indikatoren für eine Kompromittierung:

• Unerwartete Erstellung oder Reaktivierung von Administratorkonten.

• Passwortzurücksetzungen, die nicht mit autorisierten administrativen Aktivitäten in Zusammenhang stehen

• Ausführung von Betriebssystembefehlen unter dem nable-Dienstkonto.

• Aktivitäten zur Erweiterung von Berechtigungen, die zur Ausführung von Befehlen auf Root-Ebene führen.
• Ungewöhnliche XML-basierte Anfragen, die auf die „Service-Import“-Funktionalität von N-central abzielen.
• Unbefugte Konfigurationsänderungen innerhalb der N-central-Verwaltungsoberfläche.

Sollte Ihr Unternehmen von diesen bekannt gewordenen Sicherheitslücken in N-able N-central betroffen sein, wenden Sie sich bitte an das Integrity360 Incident Response-Team, um Unterstützung zu erhalten.