Компанія N-able зупинила роботу хмарної платформи через публікацію понад 30 вразливостей

Компанія N-able призупинила роботу своїх хмарних середовищ N-central у регіонах Північної та Південної Америки, Європи та Азійсько-Тихоокеанському регіоні. Це рішення ухвалили 9 листопада після того, як дослідник безпеки Шон Бейлс оприлюднив понад 30 імовірних вразливостей нульового дня для платформи віддаленого моніторингу та управління (RMM). Дослідник опублікував репозиторій Able2Shell, що містить докази концепції для цих недоліків, які, за його словами, стосуються версії 2026.4.0.31 та, ймовірно, попередніх версій продукту.

Про це повідомляє BleepingComputer з посиланням на github.com

Виявлені вразливості включають обхід автентифікації, розкриття облікових даних, запис довільних файлів, перехід до каталогів, XSS-атаки, впровадження зовнішніх XML-сутностей (XXE) та можливість віддаленого виконання коду. Найбільш критичний ланцюг експлуатації дозволяє зловмиснику отримати доступ до локальної сесії, скинути пароль та створити обліковий запис адміністратора.

N-able активно реагує на невідповідальну комунікацію щодо критичних вразливостей у N-central, виявлених незалежним дослідником пізно ввечері в неділю, 8 листопада. Як запобіжний захід, ми відключили наше хмарне середовище N-central і надали вказівки клієнтам, що працюють з локальними серверами, тимчасово вимкнути їх до подальшого повідомлення.

— N-able

Компанія повідомила, що наразі не спостерігає ознак активної експлуатації вразливостей або несанкціонованого доступу до даних. Команди з безпеки та інженерії працюють над виправленням, проте терміни відновлення роботи платформи не оголошені.

Шон Бейлс заявив, що оприлюднив експлойти без попереднього повідомлення компанії через те, що, за його твердженням, N-able проігнорувала попередні звіти про вразливості в іншому продукті, подані п’ять-шість місяців тому. Після публікації керівництво N-able зв’язалося з дослідником із проханням видалити репозиторій та співпрацювати над виправленням поточних проблем. Компанія не надала коментарів щодо звинувачень стосовно ігнорування попередніх повідомлень дослідника.