I ricercatori nel campo della sicurezza hanno reso pubbliche oltre 30 presunte vulnerabilità zero-day che interessano N-able N-central, una piattaforma di monitoraggio e gestione remota (RMM) ampiamente utilizzata.

A seguito della divulgazione, N-able ha messo offline in tutto il mondo i propri ambienti N-central ospitati e ha consigliato ai clienti che utilizzano implementazioni on-premise di spegnere i propri server come misura precauzionale.

Le vulnerabilità sono state rese note dal ricercatore di sicurezza Sean Bales, insieme a un codice di exploit proof-of-concept (PoC), nell’ambito del progetto denominato Able2Shell. Le vulnerabilità includono il bypass dell’autenticazione, la divulgazione delle credenziali, la scrittura arbitraria di file, il traversal di directory, il cross-site scripting (XSS), l’iniezione di entità esterne XML (XXE), l’escalation dei privilegi e l’esecuzione remota di codice (RCE).

Particolarmente preoccupante è una vulnerabilità XXE senza autenticazione che, secondo quanto riferito, può essere concatenata con altre vulnerabilità per rubare sessioni affidabili, reimpostare le password degli account, creare account amministrativi ed eseguire comandi sui server N-central interessati. I ricercatori hanno inoltre segnalato catene di exploit in grado di ottenere l’esecuzione di codice a livello di root. Un server N-central compromesso potrebbe inoltre consentire agli aggressori di eseguire comandi, distribuire script dannosi o ottenere accesso non autorizzato agli endpoint e agli ambienti dei clienti gestiti tramite la piattaforma RMM.

Al momento della stesura di questo articolo, N-able ha dichiarato di non aver rilevato prove di sfruttamento attivo negli ambienti dei clienti e di essere attivamente impegnata nello sviluppo e nel collaudo di hotfix per risolvere le vulnerabilità segnalate. Tuttavia, il codice di exploit rimane disponibile pubblicamente.

Per le organizzazioni che utilizzano N-able N-central, si raccomandano ai clienti le seguenti azioni immediate:

• Identificare tutte le distribuzioni di N-central ospitate e on-premise all’interno dell’ambiente.
• Seguire le raccomandazioni di N-able relative allo spegnimento dei server N-central on-premise e mantenerli offline fino a quando N-able non confermi che possano essere rimessi online in sicurezza.
• Seguire le ultime indicazioni di N-able contenute nell’avviso ufficiale sull’incidente (vedere Riferimenti) relative alla disponibilità delle patch, alle istruzioni di correzione e al ripristino sicuro del servizio.
• Esaminare i log di autenticazione per verificare la creazione di account amministratore inattesi e i log del server per individuare eventuali indicazioni di sfruttamento di vulnerabilità XXE, attività di scrittura arbitraria di file o escalation dei privilegi.
• Indagare su eventuali prove di esecuzione di comandi sospetti provenienti dai server N-central ed esaminare le attività di gestione remota sospette e le distribuzioni di script inattese che interessano gli endpoint gestiti e gli ambienti dei clienti.
• Monitorare le comunicazioni di rete in uscita dall’infrastruttura N-central per individuare attività anomale.

Potenziali indicatori di attività sospette e opportunità di ricerca delle minacce

Si raccomanda ai clienti di verificare la presenza dei seguenti comportamenti sospetti all’interno del proprio ambiente N-central e dell’infrastruttura di supporto. Si tratta di opportunità di ricerca delle minacce, non di indicatori confermati di compromissione:

• Creazione o riattivazione inattesa di account amministrativi.

• Reimpostazioni delle password non associate ad attività amministrative autorizzate

• Esecuzione di comandi del sistema operativo con l’account di servizio nable.

• Attività di escalation dei privilegi che comportano l’esecuzione di comandi a livello di root.

• Richieste insolite basate su XML rivolte alla funzionalità di importazione dei servizi di N-central.

• Modifiche non autorizzate alla configurazione all’interno dell’interfaccia di gestione di N-central.

Se la Sua organizzazione è stata esposta a queste vulnerabilità di N-able N-central rese note, contatti il team di risposta agli incidenti di Integrity360 per ricevere assistenza.