Was sind die 33 N-central Zero-Day-Schwachstellen?

Es handelt sich um neu offengelegte Schwachstellen in der N-central-RMM-Plattform von N-able, die es ermöglichen könnten, verwaltete Systeme zu übernehmen. Genaue Details dazu, wie jede Schwachstelle funktioniert, bleiben in der geprüften Berichterstattung unbestätigt.

Warum hat N-able seine gehosteten Server offline genommen?

N-able hat seine gehosteten N-central-Server als Reaktion auf die Offenlegung der 33 Zero-Day-Schwachstellen offline genommen, und Kunden wurde geraten, mit ihren eigenen Installationen dasselbe zu tun.

Warum ist eine RMM-Kompromittierung für viele Unternehmen gleichzeitig so gefährlich?

Eine RMM-Plattform hat tiefen, vertrauenswürdigen Zugriff mit hohen Privilegien auf viele verwaltete Maschinen, und ein MSP kann Dutzende oder Hunderte von Kundenorganisationen von einer einzigen Konsole aus verwalten. Die Kontrolle über diese Plattform kann den Zugriff auf alle bedeuten, oft ohne dass der Endkunde irgendeine Sichtbarkeit hat.

Wurde eine dieser Schwachstellen bereits in freier Wildbahn ausgenutzt?

Der Artikel stellt fest, dass dies in der geprüften Berichterstattung unbestätigt bleibt, und spekuliert nicht darüber. Lesern wird geraten, die eigenen Sicherheitshinweise des Anbieters als maßgebliche Quelle zu betrachten.

N-able nimmt N-central nach 33 Zero-Day-Schwachstellen offline

Q: Was bedeutet „Zero-Day" in diesem Zusammenhang?

Es bedeutet, dass die Schwachstellen offengelegt wurden, bevor Fixes breit verfügbar waren, sodass Verteidiger wenig oder keine Zeit hatten, sich vorzubereiten.

Wenn ein Sicherheitsanbieter seine eigene gehostete Plattform offline nimmt, lohnt es sich, aufmerksam zu sein. Genau das ist nach der Offenlegung von 33 N-able N-central Zero-Day-Schwachstellen geschehen, einer Reihe von Fehlern, die verwaltete Systeme der Übernahme aussetzen könnten. N-able nahm seine gehosteten N-central-Server offline, und Kunden wurden aufgefordert, mit ihren eigenen Installationen dasselbe zu tun.

Dieser Beitrag behandelt, was aus der Berichterstattung bekannt ist, warum ein Tool wie N-central ein so hohes Risiko birgt und was kleine Unternehmen und Kunden von Managed Service Providern (MSPs) jetzt tun können.

Was die 33 N-central-Schwachstellen bedeuten

N-central ist die Remote-Monitoring-and-Management-(RMM-)Plattform von N-able. MSPs nutzen Tools wie dieses, um die Computer und Server der Unternehmen, die sie betreuen, zu überwachen, zu aktualisieren und zu verwalten. Dem Bericht zufolge könnten die 33 neu offengelegten Schwachstellen es ermöglichen, verwaltete Systeme zu übernehmen.

Der Begriff „Zero-Day" ist hier wichtig. Er bedeutet, dass die Schwachstellen offengelegt wurden, bevor Fixes breit verfügbar waren, sodass Verteidiger wenig oder keine Zeit hatten, sich vorzubereiten. Deshalb bestand die Reaktion von N-able darin, gehostete Server offline zu nehmen, anstatt einen Patch-Zyklus abzuwarten, und deshalb wurde Kunden, die ihre eigenen Instanzen betreiben, geraten, es ebenso zu tun.

Der Quellartikel ist kurz, daher bleiben einige Details in der von uns geprüften Berichterstattung unbestätigt, darunter, wie jede Schwachstelle funktioniert und ob eine davon bereits in freier Wildbahn ausgenutzt wurde. Wir werden zu keinem der beiden Punkte spekulieren. Leser sollten die eigenen Sicherheitshinweise des Anbieters als maßgebliche Quelle betrachten, während sich die Lage weiterentwickelt.

Warum eine RMM-Kompromittierung auf viele Unternehmen durchschlägt

Eine RMM-Plattform ist darauf ausgelegt, tiefen, vertrauenswürdigen Zugriff auf die von ihr verwalteten Maschinen zu haben. Sie kann Skripte ausführen, Software verteilen und Einstellungen auf vielen Geräten gleichzeitig ändern. Genau das macht sie für einen MSP nützlich und genau das macht sie für einen Angreifer attraktiv.

Das Risiko entsteht durch Konzentration:

Eine Konsole, viele Kunden. Ein MSP kann Dutzende oder Hunderte von Kundenorganisationen von einer einzigen Plattform aus verwalten. Die Kontrolle über diese Plattform kann den Zugriff auf alle bedeuten.
Privilegiert von Grund auf. RMM-Agenten laufen in der Regel mit hohen Privilegien auf Endpunkten, sodass ein Angreifer, der den Server kontrolliert, dieses Vertrauen erbt.
Für den Endkunden unsichtbar. Ein kleines Unternehmen, das seine IT auslagert, hat oft keinen direkten Einblick in die Tools seines Anbieters oder darauf, ob diese Tools gepatcht sind.

Das ist die Kernlehre der N-central-Offenlegung. Der Schwachpunkt liegt möglicherweise gar nicht in Ihrem eigenen Netzwerk. Es kann ein Verwaltungstool sein, das eine Stufe weiter vorgelagert ist und von jemand anderem betrieben wird.

Was N-able und seine Kunden bisher getan haben

Der Berichterstattung zufolge hat N-able seine gehosteten N-central-Server als Reaktion auf die Offenlegung offline genommen. Kunden wurde geraten, es ebenso zu tun, was vermutlich bedeutet, ihre eigenen N-central-Instanzen offline zu nehmen, bis die Situation geklärt ist.

Eine zentrale Verwaltungsplattform offline zu nehmen, ist ein disruptiver Schritt. Für MSPs kann es bedeuten, dass sie für einen gewissen Zeitraum die Fähigkeit verlieren, Kundensysteme zu überwachen und zu patchen. Für ihre Kunden kann es langsamere Support-Antworten bedeuten. Dieser Kompromiss ist ein Signal dafür, wie ernst der Anbieter das Risiko einschätzt: Ein vorübergehender Verlust der Sichtbarkeit wurde als besser erachtet, als eine anfällige Plattform exponiert zu lassen.

Spezifische Angaben wie Zeitpläne für Fixes oder die Wiederherstellung wurden in der Quelle, auf der wir basieren, nicht detailliert, daher prüfen Sie die offiziellen Sicherheitshinweise von N-able für den aktuellen Status.

Was das für Sie bedeutet

Wie sich das auf Sie auswirkt, hängt davon ab, wo Sie stehen.

Wenn Sie N-central selbst betreiben oder bei einem MSP arbeiten: Behandeln Sie die Anbieteranweisungen als dringend. Befolgen Sie die Anweisungen von N-able zum Offline-Nehmen von Instanzen und bringen Sie sie nicht zurück, bis Sie bestätigt haben, dass die empfohlenen Fixes angewendet wurden.

Wenn Sie ein Unternehmen sind, das einen MSP nutzt: Möglicherweise melden Sie sich nie bei N-central an, aber die Tools Ihres Anbieters berühren möglicherweise jedes Gerät, das Sie besitzen. Fragen Sie Ihren Anbieter, ob er N-central nutzt, ob er die Anweisungen von N-able befolgt hat und wie er Ihnen mitteilen wird, ob Ihre Systeme betroffen waren.

Wenn Sie eine Einzelperson oder ein Heimanwender sind: Dies wird Sie wahrscheinlich nicht direkt betreffen, aber es ist eine nützliche Erinnerung daran, dass die Software, die Ihr Arbeitgeber oder IT-Anbieter nutzt, ebenfalls Teil Ihres Risikos sein kann.

Checkliste für betroffene Nutzer: Patchen, Zugriffsüberprüfung, Admin-Überwachung

Wenn Ihre Organisation N-central nutzt, direkt oder über einen Anbieter, arbeiten Sie diese Schritte durch:

Patch-Status bestätigen. Prüfen Sie die offiziellen Sicherheitshinweise von N-able auf Fixes für die offengelegten Schwachstellen und verifizieren Sie, dass sie angewendet wurden, bevor Sie den Dienst wiederherstellen.
Offline-Anweisungen befolgen. Wenn Ihnen gesagt wurde, Ihre Instanz offline zu nehmen, halten Sie sie offline, bis der Anbieter sagt, dass es sicher ist, fortzufahren.
Administratorzugriff überprüfen. Listen Sie jedes Konto mit Admin-Rechten in Ihrer RMM-Plattform auf. Entfernen Sie Konten, die ungenutzt, gemeinsam genutzt oder unbekannt sind.
Anmeldedaten rotieren. Ändern Sie Administratorpasswörter und alle API-Schlüssel oder Secrets, die in der Plattform gespeichert oder mit ihr verbunden sind, und erzwingen Sie Multi-Faktor-Authentifizierung.
Admin-Aktivitäten überwachen. Prüfen Sie Protokolle auf unerwartete Anmeldungen, neue Konten, neue Skripte oder geplante Aufgaben und Software, die ohne Ihre Autorisierung auf Endpunkte verteilt wurde.
Stellen Sie Ihrem MSP direkte Fragen. Fordern Sie ein schriftliches Update zu ihrer Exposition, dem, was sie getan haben, und wie sie Sie über etwaige Feststellungen informieren werden.
Exposition begrenzen. Beschränken Sie nach Möglichkeit den Zugriff auf Verwaltungskonsolen, sodass sie nicht aus dem offenen Internet erreichbar sind.

Kernaussagen

Die N-able N-central Zero-Day-Schwachstellen sind ein klares Beispiel für Lieferkettenrisiko: Ein fehlerhaftes Verwaltungstool kann viele Organisationen gleichzeitig in dieselbe Lage bringen. Die Entscheidung des Anbieters, offline zu gehen, zeigt, wie ernst diese Exposition sein kann.

Der praktische nächste Schritt ist einfach. Bestätigen Sie den Patch-Status, überprüfen Sie, wer Administratorzugriff hat, und beobachten Sie Admin-Aktivitäten genau. Wenn Sie sich auf einen MSP verlassen, fragen Sie ihn heute nach N-central, anstatt darauf zu warten, dass man es Ihnen sagt. Für die neuesten und genauesten Details verlassen Sie sich auf die offiziellen Sicherheitshinweise von N-able und die Kommunikation Ihres Anbieters, da sich die Anleitung bei Vorfällen wie diesem schnell ändern kann.