Co jsou těch 33 zranitelností zero-day v N-central?

Jsou to nově zveřejněné zranitelnosti v platformě RMM N-central od N-able, které by mohly umožnit převzetí spravovaných systémů. Konkrétní podrobnosti o tom, jak každá chyba funguje, zůstávají ve zkoumaných zprávách nepotvrzené.

Proč N-able stáhl své hostované servery offline?

N-able stáhl své hostované servery N-central offline v reakci na zveřejnění 33 zranitelností zero-day a zákazníkům bylo řečeno, aby totéž udělali se svými vlastními nasazeními.

Proč je kompromitace RMM tak nebezpečná pro mnoho firem najednou?

Platforma RMM má hluboký, důvěryhodný přístup s vysokými oprávněními k mnoha spravovaným strojům a MSP může spravovat desítky nebo stovky klientských organizací z jediné konzole. Kontrola nad touto platformou může znamenat dosah do všech z nich, často bez jakéhokoli přehledu koncového zákazníka.

Byly některé z těchto chyb zneužity v reálném světě?

Článek uvádí, že to zůstává ve zkoumaných zprávách nepotvrzené, a nespekuluje o tom. Čtenářům se doporučuje považovat vlastní bezpečnostní doporučení dodavatele za autoritativní zdroj.

N-able stahuje N-central offline po 33 zranitelnostech zero-day

Q: Co v tomto kontextu znamená „zero-day“?

Znamená to, že chyby byly zveřejněny dříve, než byly opravy široce dostupné, takže obránci měli málo času nebo žádný čas na přípravu.

Když bezpečnostní dodavatel stáhne svou vlastní hostovanou platformu offline, stojí za to věnovat tomu pozornost. To se stalo po zveřejnění 33 zranitelností zero-day v N-able N-central, souboru chyb, které by mohly vystavit spravované systémy převzetí. N-able stáhl své hostované servery N-central offline a zákazníkům bylo řečeno, aby totéž udělali se svými vlastními nasazeními.

Tento příspěvek shrnuje, co je známo ze zpráv, proč nástroj jako N-central nese tak vysoké riziko a co mohou malé firmy a klienti poskytovatelů spravovaných služeb (MSP) udělat právě teď.

Co znamená 33 chyb v N-central

N-central je platforma pro vzdálené monitorování a správu (RMM) od společnosti N-able. MSP používají podobné nástroje k monitorování, aktualizaci a správě počítačů a serverů firem, které podporují. Podle zprávy by 33 nově zveřejněných zranitelností mohlo umožnit převzetí spravovaných systémů.

Termín „zero-day“ je zde důležitý. Znamená, že chyby byly zveřejněny dříve, než byly opravy široce dostupné, takže obránci měli málo času nebo žádný čas na přípravu. To je důvod, proč N-able reagoval stažením hostovaných serverů offline namísto čekání na opravný cyklus, a proč zákazníkům provozujícím vlastní instance bylo doporučeno udělat totéž.

Zdrojový článek je stručný, takže některé podrobnosti zůstávají ve zprávách, které jsme zkoumali, nepotvrzené, včetně toho, jak každá chyba funguje a zda některá byla zneužita v reálném světě. K žádnému z těchto bodů nebudeme spekulovat. Čtenáři by měli považovat vlastní bezpečnostní doporučení dodavatele za autoritativní zdroj, jak se situace vyvíjí.

Proč kompromitace jednoho RMM kaskádově zasáhne mnoho firem

Platforma RMM je navržena tak, aby měla hluboký, důvěryhodný přístup ke strojům, které spravuje. Může spouštět skripty, distribuovat software a měnit nastavení napříč mnoha zařízeními najednou. Právě to ji činí užitečnou pro MSP a právě to ji činí atraktivní pro útočníka.

Riziko pramení z koncentrace:

Jedna konzole, mnoho zákazníků. MSP může spravovat desítky nebo stovky klientských organizací z jediné platformy. Kontrola nad touto platformou může znamenat dosah do všech z nich.
Privilegovaný již od návrhu. Agentí RMM obvykle běží s vysokými oprávněními na koncových zařízeních, takže útočník, který ovládne server, zdědí tuto důvěru.
Neviditelný pro koncového zákazníka. Malá firma, která outsourcuje IT, často nemá přímý přehled o nástrojích, které její poskytovatel používá, ani o tom, zda jsou tyto nástroje záplatovány.

To je hlavní ponaučení z odhalení N-central. Slabé místo nemusí být vůbec ve vaší vlastní síti. Může to být nástroj pro správu o jednu úroveň výše, provozovaný někým jiným.

Co N-able a jeho zákazníci dosud udělali

Na základě zpráv N-able stáhl své hostované servery N-central offline v reakci na odhalení. Zákazníkům bylo řečeno, aby udělali totéž, což pravděpodobně znamená stáhnout jejich vlastní instance N-central offline, dokud nebude situace vyřešena.

Stažení klíčové platformy pro správu offline je disruptivní krok. Pro MSP to může znamenat ztrátu schopnosti monitorovat a záplatovat klientské systémy po určitou dobu. Pro jejich klienty to může znamenat pomalejší reakce podpory. Tento kompromis je signálem, jak vážně dodavatel riziko vnímá: dočasná ztráta přehledu byla vyhodnocena jako lepší než ponechat zranitelnou platformu vystavenou.

Konkrétní údaje, jako jsou časové osy oprav nebo obnovení, nebyly ve zdroji, ze kterého jsme vycházeli, podrobně uvedeny, proto aktuální stav ověřte v oficiálních bezpečnostních doporučeních N-able.

Co to znamená pro vás

Jak vás to ovlivní, závisí na tom, kde stojíte.

Pokud provozujete N-central sami nebo pracujete v MSP: berte pokyny dodavatele jako naléhavé. Postupujte podle pokynů N-able ke stažení instancí offline a nevracejte je zpět, dokud nepotvrdíte, že jsou aplikovány doporučené opravy.

Pokud jste firma, která využívá MSP: možná se nikdy nepřihlásíte do N-central, ale nástroje vašeho poskytovatele se mohou dotýkat každého zařízení, které vlastníte. Zeptejte se svého poskytovatele, zda používá N-central, zda se řídil pokyny N-able a jak vám sdělí, pokud byly vaše systémy zasaženy.

Pokud jste jednotlivec nebo domácí uživatel: je nepravděpodobné, že by se vás to přímo týkalo, ale je to užitečná připomínka, že software, který používá váš zaměstnavatel nebo poskytovatel IT, může být také součástí vašeho rizika.

Kontrolní seznam pro zasažené uživatele: záplatování, revize přístupů, monitorování správců

Pokud vaše organizace používá N-central, přímo nebo prostřednictvím poskytovatele, projděte tyto kroky:

Ověřte stav záplat. Zkontrolujte oficiální bezpečnostní doporučení N-able týkající se oprav zveřejněných chyb a ověřte, že jsou aplikovány, než obnovíte provoz.
Dodržujte pokyny k offline režimu. Pokud vám bylo řečeno stáhnout vaši instanci offline, ponechte ji offline, dokud dodavatel neřekne, že je bezpečné pokračovat.
Zrevidujte přístup správců. Vypište všechny účty s právy správce ve vaší platformě RMM. Odstraňte účty, které jsou nepoužívané, sdílené nebo neznámé.
Obměňte přihlašovací údaje. Změňte hesla správců a všechny API klíče nebo tajné údaje uložené v platformě nebo k ní připojené a vynuťte vícefaktorové ověřování.
Monitorujte aktivitu správců. Zkontrolujte záznamy na neočekávaná přihlášení, nové účty, nové skripty nebo naplánované úlohy a software distribuovaný na koncová zařízení, který jste neschválili.
Ptejte se svého MSP přímo. Požádejte o písemnou aktualizaci o jejich expozici, co udělali a jak vás budou informovat o jakýchkoli zjištěních.
Omezte expozici. Kde je to možné, omezujte přístup ke konzolím pro správu tak, aby nebyly dostupné z otevřeného internetu.

Hlavní poznatky

Zranitelnosti zero-day v N-able N-central jsou jasným příkladem rizika dodavatelského řetězce: jeden vadný nástroj pro správu může uvést mnoho organizací do stejné situace najednou. Rozhodnutí dodavatele přejít offline ukazuje, jak vážná tato expozice může být.

Praktický další krok je jednoduchý. Ověřte stav záplat, zrevidujte, kdo má přístup správce, a pečlivě sledujte aktivitu správců. Pokud se spoléháte na MSP, zeptejte se ho na N-central ještě dnes, místo abyste čekali, až vám to bude řečeno. Nejnovější a nejpřesnější podrobnosti hledejte v oficiálních bezpečnostních doporučeních N-able a v komunikaci vašeho poskytovatele, protože pokyny k incidentům, jako je tento, se mohou rychle měnit.