החוקר הבלתי תלוי Sean Bales פרסם למעלה מ-30 פגיעויות בפלטפורמת הניהול N-able N-central, יחד עם קוד הוכחת היתכנות. הסט נקרא Able2Shell. בתגובה, N-able הורידה את סביבת Hosted N-central ופנתה ללקוחות מקומיים לכבות את השרתים. מערכת כזו מנהלת הרבה תחנות קצה, ולכן פריצה אליה חמורה במיוחד.
הפרטים
לפי הדיווח, הפגיעויות כוללות חשיפת אישורים, כתיבת קבצים שרירותית, directory traversal, XSS, XXE והרצת קוד. שרשראות ניצול מאפשרות גישת ניהול זדונית לממשק ופקודות כ-root. החוקר בדק את גרסה 2026.4.0.31 של ה-Appliance; טווח הגרסאות המושפעות לא פורסם, ולא פורסמו מספרי CVE. הכתבה מציינת גם שמספר הפגיעויות המדויק עשוי להשתנות, כי הסיפור עדיין מתפתח.
N-able מסרה שלא ראתה סימנים לניצול פעיל, ושהיא עובדת על hot fix ללא מועד פרסום. שירותי Ecoverse תחת N-able Login ממשיכים לפעול.
נקודות לשים לב
- אם אתה מפעיל N-central מקומי, פעל לפי בקשת N-able וכבה את השרת עד הודעה חדשה, או לפחות נתק אותו מהאינטרנט. שקול מול ההשלכות על ניטור הלקוחות שלך.
- אם אתה ספק שירותים מנוהלים (MSP) על הגרסה המתארחת, תכנן ניטור חלופי לתקופת ההשבתה, ועקוב אחר uptime.n-able.com.
- כשיפורסם התיקון, עדכן מיד. ה-PoC פומבי, ולכן ניסיונות ניצול סבירים.
- אחרי התיקון, שקול לסובב אישורים ואסימוני תמיכה שמאוחסנים במערכת, כי חלק מהפגיעויות חושפות אישורים. זו המלצה כללית ולא הנחיית היצרן.
- אין כרגע אישור לניצול בפועל, ואין להסיק שהמערכות נפרצו.
מקורות: The Hacker News · N-able Status
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
