شرکت N-able در تاریخ ۹ نوامبر، محیط‌های میزبانی‌شده (Hosted) پلتفرم N-central خود را در سطح جهانی از دسترس خارج کرد. این اقدام پس از آن صورت گرفت که یک پژوهشگر مستقل، جزئیات مربوط به ۳۳ آسیب‌پذیری ادعا شده از نوع زیرو دِی (Zero-Day) و کدهای اکسپلویت (Exploit) مربوط به آن‌ها را منتشر کرد.
علاوه بر سرویس‌های میزبانی‌شده، این شرکت به مشتریانی که از N-central بر روی سرورهای شخصی خود استفاده می‌کنند نیز توصیه کرده است که تا اطلاع ثانوی، سرورهای خود را خاموش کنند. این تصمیم باعث ایجاد وقفه در دسترسی کاربران به پلتفرم مدیریت و نظارت از راه دور (RMM) شده است.
این خاموشی شامل سرویس‌های میزبانی‌شده در مناطق آمریکا، اروپا و آسیا-اقیانوسیه می‌شود. N-able اعلام کرده است که این حرکت یک اقدام احتیاطی برای فراهم کردن امکان اعمال اصلاحیه (Hotfix) توسط تیم‌های فنی است. طبق گزارش‌ها، تاکنون شواهدی از بهره‌برداری فعال (Active Exploitation) از این آسیب‌پذیری‌ها مشاهده نشده است، اما به مشتریان هشدار داده شده که تا زمان تأیید ایمنی توسط شرکت، سرورها را مجدداً آنلاین نکنند.
جزئیات فنی اکسپلویت Able2Shell
تحقیقات منتشر شده تحت عنوان Able2Shell، شامل گزارش‌های فنی و کدهای اثبات مفهوم (PoC) است. تحلیل‌ها نشان می‌دهد که این ۳۳ آسیب‌پذیری می‌توانند چهار زنجیره اکسپلویت (Exploit Chain) مجزا را تشکیل دهند:
- سه زنجیره: منجر به اجرای کد از راه دور (RCE) می‌شوند که به مهاجم اجازه می‌دهد دستورات خود را روی سرور آسیب‌پذیر اجرا کند.
- یک زنجیره: امکان ارتقای سطح دسترسی (Privilege Escalation) به سطح Root را فراهم می‌کند که بالاترین سطح دسترسی در سیستم‌عامل است.
این آسیب‌پذیری‌ها عمدتاً N-central Appliance نسخه 2026.4.0.31 و نسخه‌های قدیمی‌تر را هدف قرار می‌دهند. یکی از موارد شناسایی شده، یک نقص از نوع XXE (XML External Entity) است که می‌تواند بدون نیاز به احراز هویت (Unauthenticated)، منجر به اجرای کد از راه دور شود.
اهمیت و اقدامات دفاعی
با توجه به اینکه N-central یک پلتفرم RMM است که به ارائه‌دهندگان خدمات مدیریت‌شده (MSP) اجازه نظارت، نصب وصله‌ها و اجرای اسکریپت‌ها را می‌دهد، تسلط بر این سرورها می‌تواند پیامدهای بسیار وخیمی داشته باشد. مهاجمان با کنترل این پلتفرم می‌توانند به تمامی دستگاه‌های تحت مدیریت نیز دسترسی پیدا کنند.
تیم‌های امنیتی و مدیران SOC توصیه می‌شوند اقدامات زیر را انجام دهند:
- بررسی دقیق فعالیت‌های مربوط به ورود و احراز هویت (Authentication) از تاریخ ۸ نوامبر به بعد.
- جستجو برای حساب‌های مدیر (Administrator) غیرمنتظره یا ایجاد شده توسط مهاجم.
- مانیتورینگ نشست‌های (Sessions) غیرعادی در دسترسی از راه دور و اسکریپت‌های جدید مستقر شده.
- در صورت مشاهده هرگونه فعالیت مشکوک، فرآیند پاسخگویی به حادثه (Incident Response) را نه تنها برای خودِ سرور N-central، بلکه برای تمامی شبکه‌های مشتریان تحت مدیریت آن نیز اجرا کنید.
تأکید می‌شود که بازیابی سرویس‌ها نباید صرفاً با مشاهده یک آپدیت انجام شود؛ بلکه باید دقیقاً طبق دستورالعمل‌های N-able و پس از اطمینان از اعمال اصلاحیه لازم، سرورها را بازگرداند.
