N-able stänger tillfälligt ner fjärråtkomsttjänst efter avslöjande av flera zero-day-sårbarheter

Bild: TechCrunch · Källa

N-able tog sin fjärråtkomsttjänst N-Central offline efter att flera zero-day-exploits offentliggjorts, vilka kan tillåta angripare att få root-åtkomst och skapa administrativa konton. Företaget uppmanar även kunder med självhostade installationer att inaktivera dessa.

N-able, en ledande leverantör av fjärråtkomstteknologi, har tagit sin molnbaserade N-Central-tjänst offline för att hantera en kritisk säkerhetsincident som omfattar dussintals zero-day-sårbarheter som offentliggjordes i november. Företaget rådde också kunder med självhostade N-Central-installationer att ta ner sina instanser som en försiktighetsåtgärd mot möjliga cyberattacker som kan utnyttja de avslöjade bristerna.

Sårbarheterna avslöjades i en omfattande redovisning av säkerhetsforskaren Ben Bales på GitHub och sociala medier. Bales kallade samlingen av buggar för "Able2Shell" och framhävde deras förmåga att stjäla autentiseringsuppgifter, skapa obehöriga administratörskonton samt få root-nivå kontroll över drabbade N-able-system. Exploits kombinerar flera svagheter såsom pre-autentisering XML External Entity (XXE)-hantering, sessionsförväxling, autentiseringsomgåelser och kodinjektionstekniker.

Noterbart är att dessa brister påverkar förhandsversionen "N-able N-central Appliance 2026.4.0.31" men bekräftas även fungera på tidigare versioner, inklusive de senaste produktionsutgåvorna, vilket tyder på en omfattande sårbarhet i produktserien. Den långa listan med säkerhetsproblem inkluderar anonyma avslutningar av fjärrstyrda sessioner, obehörig konfigurationsändring, godtyckliga filskrivningar som leder till fjärrkörning av kod och avslöjande av autentiseringsuppgifter som påverkar N-Central-ekosystemet.

N-able bekräftade i en offentlig statusuppdatering att kunder under reparationsperioden inte kommer att kunna använda N-Central-tjänsten, vilket är avgörande för fjärrövervakning och hantering av nätverksanslutna enheter. Företaget uppgav att man för närvarande inte har bevis för att utnyttjande skett i kundmiljöer, men förtydligade inte om man har mekanismer som serverloggar för att avgöra detta definitivt.

Incidenten understryker de risker fjärråtkomstlösningar utsätts för, vilka är attraktiva mål för hotaktörer på grund av den breda nätverkskontrollen de ger vid kompromettering. Bales uppges ha offentliggjort exploits efter att N-able påståtts inte ha åtgärdat tidigare rapporterade sårbarheter snabbt i ett annat av sina produkter.

Den offentliggjorda forskningen inkluderar detaljerade proof-of-concept-exploits som visar hur angripare kan kedja flera sårbarheter för full kontroll över systemet. Till exempel kan en anonym angripare injicera skadlig XML för att kapra sessionstoken, skriva körbara JSP-filer till systemets webbservers mappar och eskalera privilegier till root.

Kunder uppmanas starkt att följa N-ables rekommendation att inaktivera tjänsterna och vänta på officiella säkerhetsuppdateringar. Företaget arbetar aktivt med att säkra drabbade miljöer och genomföra lämpliga åtgärder. Med tanke på sårbarheternas allvar och omfattning förväntas N-able snart släppa kritiska säkerhetspatchar för att säkerställa tjänstens trygghet och förebygga eventuellt utnyttjande.

Händelsen belyser fortsatta utmaningar för företag som förlitar sig på fjärrhanteringsplattformar och vikten av noggrann sårbarhetshantering och snabb patchning för att skydda kritisk nätverksinfrastruktur.