Технологичната компания N-able временно спря своята облачна платформа за отдалечено управление N-central и отправи спешен призив към клиентите с локални инсталации да изключат сървърите си. Мярката бе предприета след публичното оповестяване на над 30 уязвимости от нулев ден, придружени с готови инструменти за компрометиране. За българските компании и доставчици на ИТ услуги това налага незабавни действия за изолиране на системите до появата на официална корекция.
Какво се случи: изтичането на проекта Able2Shell
Независимият изследовател по киберсигурност Шон Бейлс публикува късно в неделя, 8 ноември, публично хранилище в GitHub с името Able2Shell. В него бяха разпространени над 30 уязвимости от нулев ден (софтуерни дефекти, за които все още няма издаден пач от производителя) заедно с демонстрационен код за тяхната експлоатация. Изследователят потвърди, че откриването на дефектите е било подпомогнато от изкуствен интелект (AI).
Тестовете са извършени върху предварителната тестова версия N-central Appliance 2026.4.0.31, но според автора повечето или всички открити проблеми засягат и предходни версии на софтуера. Списъкът с пропуски включва заобикаляне на автентикация, изтичане на данни за вход, запис на произволни файлове, обхождане на директории, XXE (XML external entity injection – инжектиране на външни XML обекти), съхранен XSS (cross-site scripting – междусайтово скриптиране) и RCE (remote code execution – отдалечено изпълнение на зловреден код).
Най-опасната експлойт верига използва неавтентифицирана XXE уязвимост във функцията за импортиране на услуги, за да открадне валидна локална сесия, да нулира администраторска парола и да изпълни команди от името на потребителя nable. Демонстрацията показва и създаване на нов администраторски профил по подразбиране с пълен достъп до панела за управление.
Други разкрити вектори включват съхранен XSS, който може да изпълни команди с права на root, когато администратор отвори зловредни метаданни за пачове, както и ескалация на права от системния акаунт nable директно до root.
След публикуването на данните N-able обяви критичен инцидент със сигурността на 9 ноември и изключи облачните си среди в три основни региона: Америка, Европа и Азиатско-тихоокеанския регион. От компанията заявиха, че подготвят спешна корекция (hotfix) и към момента не са регистрирали данни за активно използване на уязвимостите от хакери или нерегламентиран достъп до клиентски данни. Услугите от платформата Ecoverse, достъпвани през N-able Login, остават активни, докато класическият портал N-central остава офлайн, като производителят предоставя актуална информация на всеки 4 часа.
Кои организации са засегнати
N-central е специализирана платформа от тип RMM (Remote Monitoring and Management – отдалечено наблюдение и управление). Тези инструменти се използват масово от доставчици на управлявани ИТ услуги (MSP) и вътрешни технически отдели за контрол, обновяване и защита на клиентски работни станции, сървъри и мрежови устройства.
Инцидентът засяга два основни типа потребители:
- Клиенти на облачната услуга Hosted N-central: средата е временно изключена от производителя в световен мащаб, което блокира дистанционното управление на клиентски мрежи до пускането на поправката.
- Организации с локални инсталации (on-premises): всички локални сървъри остават уязвими към публикуваните публично експлойти, докато работят и са достъпни през мрежата.
По думите на изследователя директното публикуване на пропуските е предприето, тъй като преди около 5 до 6 месеца той е докладвал други две RCE уязвимости и проблем с ескалация на права в различен продукт на N-able, които са останали некоригирани и без отговор на последващите му запитвания в продължение на 4 до 6 седмици. Въпреки че ръководството на N-able е поискало сваляне на хранилището в GitHub, програмният код за атака вече е публично достъпен.
Какво да предприемат ИТ екипите
Докато производителят валидира и разпространи официалния hotfix, организациите, разчитащи на N-central, трябва да изпълнят спешни предпазни мерки за ограничаване на риска.
Изпълнете официалната препоръка на разработчика и временно изключете локалните on-premises сървъри от мрежата до второ нареждане.
Ако оперативно не можете да спрете сървъра, прекратете незабавно всякаква директна интернет видимост към него и ограничете интерфейса единствено зад криптирана вътрешна VPN мрежа.
Прегледайте логовете за необичайни действия, създаване на нови профили с права на администратор или промени в потребителските пароли.
Следете официалния статус на платформата, обновяван на всеки 4 часа, и инсталирайте предоставената софтуерна кръпка незабавно след появата ѝ.
Обобщение
Публикуването на десетки уязвимости в популярен инструмент за отдалечено управление създава сериозен риск за доставчиците на услуги и техните крайни клиенти. Тъй като RMM софтуерът разполага с пълни административни привилегии в наблюдаваните компютри и сървъри, неговият компромат може да застраши цялата корпоративна мрежа. При необходимост от проверка на мрежовия периметър и изолиране на уязвимости екипът на Defend.bg може да съдейства за защитата на вашата инфраструктура.
