N-able پلتفرم N-central را پس از انتشار بیش از ۳۰ آسیب‌پذیری روز صفر آفلاین کرد

شرکت N-able در تاریخ ۹ نوامبر ۲۰۲۶ محیط‌های میزبانی‌شده N-central خود را در سطح جهانی آفلاین کرد، پس از آنکه شان بیلز، پژوهشگر امنیتی، بیش از سی آسیب‌پذیری روز صفر (zero-day) در این پلتفرم مدیریت و نظارت از راه دور (RMM) منتشر کرد؛ از جمله زنجیره‌هایی که به مهاجم اجازه می‌دهد یک حساب مدیر بسازد و فرمان‌ها را با دسترسی روت اجرا کند. N-able این حادثه را ساعت ۱۵:۱۵ به وقت هماهنگ جهانی (UTC) تأیید کرد و به مشتریانی که سرورهای N-central را به‌صورت درون‌سازمانی اجرا می‌کنند، گفت تا اطلاع بعدی آن‌ها را خاموش کنند.

N-central ستون فقراتی است که بسیاری از ارائه‌دهندگان خدمات مدیریت‌شده (MSP) برای مدیریت از راه دور شبکه‌های مشتریان خود از آن استفاده می‌کنند؛ یعنی نصب وصله‌ها، ارسال نرم‌افزار و نظارت بر دستگاه‌ها در ده‌ها یا صدها سازمان مشتری، همه از یک کنسول واحد. همین تمرکز دسترسی است که پلتفرم‌های RMM را از زمان حملهٔ Kaseya VSA در سال ۲۰۲۱ - که در آن یک ابزار آلوده در یک آخر هفته بدافزار را به حدود ۱۵۰۰ کسب‌وکار پایین‌دستی سرایت داد - به هدف محبوب گروه‌های باج‌افزاری تبدیل کرده است. یک حفرهٔ تازه و وصله‌نشده در N-central همان ریسک نقطهٔ شکست واحد را برای هر مشتری MSP که پشت آن قرار دارد، به همراه دارد.

بیلز یافته‌های خود را اواخر یکشنبه، ۸ نوامبر، در لینکدین منتشر کرد و کد اثبات مفهوم (proof-of-concept) را در مخزنی در گیت‌هاب با نام «Able2Shell» به اشتراک گذاشت. او به BleepingComputer گفت که این آسیب‌پذیری‌ها با کمک هوش مصنوعی کشف شده‌اند و روی نسخهٔ پیش‌انتشار N-central Appliance 2026.4.0.31 آزمایش شده‌اند، هرچند او معتقد است بیشتر این نقص‌ها نسخه‌های قدیمی‌تر و در حال استفاده را نیز تحت تأثیر قرار می‌دهند. خطرناک‌ترین زنجیره از یک آسیب‌پذیری XML External Entity (XXE) بدون نیاز به احراز هویت در تابع service-import بهره می‌گیرد تا یک نشست محلی معتبر را بدزدد، رمز عبور را بازنشانی کند و فرمان‌ها را با حساب سرویس nable اجرا کند؛ همین باگ می‌تواند یک حساب مدیر فعال و تحت کنترل مهاجم نیز ایجاد کند. یک آسیب‌پذیری جداگانهٔ XSS ذخیره‌شده (stored XSS) به مهاجم اجازه می‌دهد به محض آنکه یک مدیر داده‌های فراداده (metadata) آلودهٔ وصله را مشاهده کند، فرمان‌ها را با دسترسی روت اجرا کند، و باگ سومی سطح دسترسی را از حساب nable مستقیماً به روت ارتقا می‌دهد.

N-able می‌گوید تا این لحظه هیچ بهره‌برداری فعالی از این آسیب‌پذیری‌ها مشاهده نشده و روی یک وصلهٔ فوری کار می‌کند؛ بر این اساس هر چهار ساعت یک‌بار به‌روزرسانی وضعیت منتشر خواهد شد. این پنجمین چرخهٔ وصلهٔ فوری این شرکت از اول اوت تاکنون خواهد بود، پس از سلسله‌ای از آسیب‌پذیری‌های N-central در سال جاری که شامل یک باگ اجرای کد از راه دور با شدت حداکثری و در حال بهره‌برداری فعال بود که در سپتامبر وصله شد.

بیلز می‌گوید از فرآیند افشای هماهنگ (coordinated disclosure) صرف‌نظر کرده، زیرا N-able دو باگ نامرتبط اجرای کد از راه دور و یک نقص ارتقای سطح دسترسی را که او پنج تا شش ماه پیش در محصول دیگری از این شرکت گزارش داده بود، بدون پاسخ به چند ایمیل پیگیری و بدون پرداخت پاداش کشف باگ، نادیده گرفته بود. او به BleepingComputer گفت: «آن‌ها افشای آسیب‌پذیری را جدی نمی‌گیرند.» او گفت مدیرعامل و مدیر فناوری N-able پس از انتشار مخزن گیت‌هاب با او تماس گرفته و از او خواسته‌اند آن را حذف کند، اما شرکت او را تهدید نکرده است. N-able به پرسش‌ها درباره گزارش‌های قبلی و وصله‌نشده پاسخی نداد.

برای ارائه‌دهندگان خدمات مدیریت‌شده، راه‌حل کوتاه‌مدت ساده اما دردناک است: همان‌طور که خود N-able توصیه می‌کند، تا زمان انتشار وصلهٔ فوری، N-central را آفلاین کنند. مسئلهٔ دشوارتر، الگوی پشت این ماجراست؛ پلتفرمی که امنیت هزاران کسب‌وکار پایین‌دستی را مدیریت می‌کند، در سه ماه گذشته پنج وصلهٔ فوری منتشر کرده و پژوهشگر خودش می‌گوید گزارش‌های نامرتبط او نیم سال بدون پاسخ مانده‌اند. هر چرخهٔ تازهٔ افشا، استدلال برای عبور دادن این حجم از دسترسی از یک کنسول واحد و پرتکرار در وصله‌شدن را ضعیف‌تر می‌کند.

به گزارش BleepingComputer.