Des chercheurs en sécurité ont rendu publiques plus de 30 vulnérabilités présumées de type « zero-day » affectant N-able N-central, une plateforme de surveillance et de gestion à distance (RMM) largement utilisée.

À la suite de cette divulgation, N-able a mis hors ligne ses environnements N-central hébergés dans le monde entier et a conseillé aux clients utilisant des déploiements sur site d'arrêter leurs serveurs par mesure de précaution.

Ces vulnérabilités ont été rendues publiques par le chercheur en sécurité Sean Bales, accompagnées d’un code d’exploitation de type « proof-of-concept » (PoC), dans le cadre du projet Able2Shell. Les failles concernent notamment le contournement de l’authentification, la divulgation d’identifiants, l’écriture arbitraire de fichiers, le traversement de répertoires, les attaques de type « cross-site scripting » (XSS), l’injection d’entités externes XML (XXE), l’élévation de privilèges et l’exécution de code à distance (RCE).

Une vulnérabilité XXE sans authentification est particulièrement préoccupante : elle pourrait, selon certaines informations, être combinée à d’autres failles pour détourner des sessions de confiance, réinitialiser les mots de passe des comptes, créer des comptes administratifs et exécuter des commandes sur les serveurs N-central affectés. Les chercheurs ont également signalé des chaînes d’exploitation capables de permettre l’exécution de code au niveau root. Un serveur N-central compromis pourrait également permettre à des attaquants d’exécuter des commandes, de déployer des scripts malveillants ou d’obtenir un accès non autorisé aux terminaux et aux environnements clients gérés via la plateforme RMM.

Au moment de la rédaction de cet article, N-able a déclaré n’avoir observé aucun signe d’exploitation active dans les environnements de ses clients et s’employer activement à développer et à tester des correctifs pour remédier aux vulnérabilités révélées. Toutefois, le code d’exploitation reste accessible au public.

Pour les organisations utilisant N-able N-central, les mesures immédiates suivantes sont recommandées aux clients :

• Identifier tous les déploiements N-central hébergés et sur site au sein de l’environnement.
• Suivre les recommandations de N-able concernant l’arrêt des serveurs N-central sur site et les maintenir hors ligne jusqu’à ce que N-able confirme qu’ils peuvent être remis en ligne en toute sécurité.
• Suivre les dernières recommandations de N-able figurant dans l’avis officiel d’incident (voir Références) concernant la disponibilité des correctifs, les instructions de correction et la remise en service en toute sécurité.
• Examinez les journaux d’authentification pour détecter la création de comptes administrateur inattendus et les journaux des serveurs pour repérer tout signe d’exploitation de la vulnérabilité XXE, d’activité d’écriture arbitraire de fichiers ou d’escalade de privilèges.
• Enquêtez sur les indices d’exécution de commandes suspectes provenant des serveurs N-central, et examinez les activités de gestion à distance suspectes ainsi que les déploiements de scripts inattendus affectant les terminaux gérés et les environnements des clients.
• Surveillez les communications réseau sortantes provenant de l’infrastructure N-central afin de détecter toute activité anormale.

Indicateurs potentiels d’activités suspectes et opportunités de recherche de menaces

Il est conseillé aux clients d’examiner les comportements suspects suivants au sein de leur environnement N-central et de leur infrastructure associée. Il s’agit d’opportunités de recherche de menaces, et non d’indicateurs de compromission confirmés :

• Création ou réactivation inattendue de comptes administrateur.

• Réinitialisations de mot de passe non associées à une activité administrative autorisée

• Exécution de commandes du système d’exploitation sous le compte de service nable.

• Activité d’élévation de privilèges entraînant l’exécution de commandes au niveau root.
• Demandes inhabituelles au format XML ciblant la fonctionnalité « service-import » de N-central.
• Modifications de configuration non autorisées au sein de l’interface de gestion de N-central.

Si votre organisation a été exposée à ces vulnérabilités de N-able N-central qui ont été révélées, veuillez contacter l’équipe d’intervention en cas d’incident d’Integrity360 pour obtenir de l’aide.