N-able N-central – Offentliggörande av flera zero-day-sårbarheter

Säkerhetsforskare har offentliggjort mer än 30 påstådda zero-day-sårbarheter som påverkar N-able N-central, en mycket utbredd plattform för fjärrövervakning och fjärrhantering (RMM).

Efter avslöjandet tog N-able sina värdbaserade N-central-miljöer offline över hela världen och uppmanade kunder med lokala installationer att stänga av sina servrar som en försiktighetsåtgärd.

Sårbarheterna publicerades av säkerhetsforskaren Sean Bales, tillsammans med proof-of-concept-kod (PoC), under projektnamnet Able2Shell. Sårbarheterna omfattar kringgående av autentisering, avslöjande av inloggningsuppgifter, godtycklig filskrivning, katalogtraversering, cross-site scripting (XSS), XML External Entity (XXE)-injektion, utökning av behörigheter och fjärrkörning av kod (RCE).

Särskilt oroande är en oautentiserad XXE-sårbarhet som enligt uppgift kan kombineras med andra svagheter för att stjäla betrodda sessioner, återställa kontolösenord, skapa administratörskonton och köra kommandon på drabbade N-central-servrar. Forskare rapporterade även utnyttjandekedjor som kan leda till kodkörning på root-nivå. En komprometterad N-central-server kan också göra det möjligt för angripare att köra kommandon, distribuera skadliga skript eller få obehörig åtkomst till slutpunkter och kundmiljöer som hanteras via RMM-plattformen.

Vid tidpunkten för detta skrivande har N-able uppgett att man inte har observerat några tecken på aktiv utnyttjande i kundmiljöer och att man aktivt utvecklar och testar snabbkorrigeringar för att åtgärda de avslöjade sårbarheterna. Exploatkoden är dock fortfarande tillgänglig för allmänheten.

För organisationer som använder N-able N-central rekommenderas följande omedelbara åtgärder för kunderna:

• Identifiera alla N-central-installationer, både de som är hostade och de som finns lokalt, inom miljön.
• Följ N-ables rekommendationer om avstängning av lokalt installerade N-central-servrar och håll dem offline tills N-able bekräftar att de säkert kan tas tillbaka online.
• Följ N-ables senaste riktlinjer i det officiella incidentmeddelandet (se Referenser) angående tillgänglighet av snabbkorrigeringar, åtgärdsinstruktioner och säker återställning av tjänsten.
• Granska autentiseringsloggarna för att upptäcka om oväntade administratörskonton har skapats och serverloggarna för tecken på XXE-utnyttjande, godtycklig filskrivningsaktivitet eller utökning av behörigheter.
• Undersök bevis på misstänkt kommandokörning med ursprung från N-central-servrar och granska misstänkta fjärrhanteringsaktiviteter samt oväntade skriptdistributioner som påverkar hanterade slutpunkter och kundmiljöer.
• Övervaka utgående nätverkskommunikation från N-centrals infrastruktur för att upptäcka avvikande aktivitet.

Potentiella indikatorer på misstänkt aktivitet och möjligheter till hotjakt

Kunderna uppmanas att granska följande misstänkta beteenden inom sin N-central-miljö och tillhörande infrastruktur. Detta är möjligheter till hotjakt, inte bekräftade indikatorer på intrång:

• Oväntat skapande eller återaktivering av administratörskonton.

• Lösenordsåterställningar som inte är kopplade till auktoriserad administrativ aktivitet

• Körning av operativsystemskommandon under tjänstekontot nable.

• Aktiviteter för utökning av behörigheter som leder till körning av kommandon på root-nivå.
• Ovanliga XML-baserade förfrågningar riktade mot N-centrals service-import-funktion.
• Obehöriga konfigurationsändringar i N-centrals hanteringsgränssnitt.

Om er organisation har utsatts för dessa offentliggjorda sårbarheter i N-able N-central, kontakta Integrity360:s Incident Response-team för hjälp.