Lorsqu'un fournisseur de sécurité met sa propre plateforme hébergée hors ligne, cela vaut la peine d'y prêter attention. C'est ce qui s'est produit après la divulgation de 33 vulnérabilités zero-day de N-able N-central, un ensemble de failles qui pourraient exposer les systèmes gérés à une prise de contrôle. N-able a mis hors ligne ses serveurs N-central hébergés, et les clients ont été invités à faire de même avec leurs propres déploiements.
Cet article couvre ce qui est connu à partir des reportages, pourquoi un outil comme N-central comporte tant de risques, et ce que les petites entreprises et les clients de fournisseurs de services gérés (MSP) peuvent faire dès maintenant.
Ce que signifient les 33 failles de N-central
N-central est la plateforme de surveillance et de gestion à distance (RMM) de N-able. Les MSP utilisent des outils comme celui-ci pour surveiller, mettre à jour et administrer les ordinateurs et serveurs des entreprises qu'ils accompagnent. Selon le rapport, les 33 vulnérabilités nouvellement divulguées pourraient permettre la prise de contrôle des systèmes gérés.
Le terme « zero-day » est important ici. Il signifie que les failles ont été divulguées avant que des correctifs soient largement disponibles, de sorte que les défenseurs disposaient de peu ou pas de temps pour se préparer. C'est pourquoi la réponse de N-able a été de mettre les serveurs hébergés hors ligne plutôt que d'attendre un cycle de correctifs, et pourquoi les clients exécutant leurs propres instances ont été invités à faire de même.
L'article source est bref, de sorte que certains détails restent non confirmés dans les reportages que nous avons examinés, notamment le fonctionnement de chaque faille et si certaines ont été exploitées dans la nature. Nous ne spéculerons sur aucun de ces points. Les lecteurs doivent considérer les avis du fournisseur lui-même comme la source faisant autorité à mesure que la situation évolue.
Pourquoi la compromission d'un RMM se répercute sur de nombreuses entreprises
Une plateforme RMM est conçue pour disposer d'un accès profond et de confiance aux machines qu'elle gère. Elle peut exécuter des scripts, déployer des logiciels et modifier des paramètres sur de nombreux appareils à la fois. C'est exactement ce qui la rend utile à un MSP, et exactement ce qui la rend attrayante pour un attaquant.
Le risque provient de la concentration :
- Une console, de nombreux clients. Un MSP peut gérer des dizaines ou des centaines d'organisations clientes à partir d'une seule plateforme. Le contrôle de cette plateforme peut signifier un accès à toutes.
- Privilégié par conception. Les agents RMM s'exécutent généralement avec des privilèges élevés sur les points de terminaison, de sorte qu'un attaquant qui contrôle le serveur hérite de cette confiance.
- Invisible pour le client final. Une petite entreprise qui externalise son informatique n'a souvent aucune vue directe sur les outils utilisés par son fournisseur, ni sur la question de savoir si ces outils sont corrigés.
C'est la leçon centrale de la divulgation de N-central. Le point faible peut ne pas être du tout votre propre réseau. Il peut s'agir d'un outil de gestion situé un cran en amont, géré par quelqu'un d'autre.
Ce que N-able et ses clients ont fait jusqu'à présent
D'après les reportages, N-able a mis hors ligne ses serveurs N-central hébergés en réponse à la divulgation. Les clients ont été invités à faire de même, ce qui signifie vraisemblablement mettre hors ligne leurs propres instances N-central jusqu'à ce que la situation soit résolue.
Mettre hors ligne une plateforme de gestion essentielle est une mesure perturbatrice. Pour les MSP, cela peut signifier perdre la capacité de surveiller et de corriger les systèmes clients pendant un certain temps. Pour leurs clients, cela peut signifier des réponses de support plus lentes. Ce compromis est un signal de la gravité avec laquelle le fournisseur perçoit le risque : une perte temporaire de visibilité a été jugée préférable à l'exposition d'une plateforme vulnérable.
Les détails tels que les calendriers de correctifs ou de restauration n'étaient pas précisés dans la source sur laquelle nous avons travaillé, alors consultez les avis officiels de N-able pour connaître l'état actuel.
Ce que cela signifie pour vous
La manière dont cela vous affecte dépend de votre position.
Si vous exécutez N-central vous-même ou travaillez dans un MSP : traitez les recommandations du fournisseur comme urgentes. Suivez les instructions de N-able concernant la mise hors ligne des instances, et ne les remettez pas en service avant d'avoir confirmé que les correctifs recommandés sont appliqués.
Si vous êtes une entreprise qui fait appel à un MSP : vous ne vous connecterez peut-être jamais à N-central, mais les outils de votre fournisseur peuvent toucher chaque appareil que vous possédez. Demandez à votre fournisseur s'il utilise N-central, s'il a suivi les recommandations de N-able, et comment il vous informera si vos systèmes ont été affectés.
Si vous êtes un particulier ou un utilisateur à domicile : cela ne vous affectera probablement pas directement, mais c'est un rappel utile que les logiciels utilisés par votre employeur ou votre fournisseur informatique peuvent aussi faire partie de votre risque.
Liste de contrôle pour les utilisateurs concernés : correctifs, revue des accès, surveillance des administrateurs
Si votre organisation utilise N-central, directement ou par l'intermédiaire d'un fournisseur, suivez ces étapes :
- Confirmez l'état des correctifs. Consultez les avis officiels de N-able pour les correctifs couvrant les failles divulguées et vérifiez qu'ils sont appliqués avant de rétablir le service.
- Suivez les consignes de mise hors ligne. Si l'on vous a demandé de mettre votre instance hors ligne, maintenez-la hors ligne jusqu'à ce que le fournisseur indique qu'il est sûr de poursuivre.
- Examinez les accès administrateur. Listez chaque compte disposant de droits d'administrateur dans votre plateforme RMM. Supprimez les comptes inutilisés, partagés ou inconnus.
- Renouvelez les identifiants. Changez les mots de passe administrateur ainsi que toutes les clés API ou secrets stockés dans la plateforme ou connectés à celle-ci, et imposez l'authentification multifacteur.
- Surveillez l'activité des administrateurs. Examinez les journaux pour détecter des connexions inattendues, de nouveaux comptes, de nouveaux scripts ou tâches planifiées, et des logiciels déployés sur les points de terminaison que vous n'avez pas autorisés.
- Posez des questions directes à votre MSP. Demandez une mise à jour écrite sur leur exposition, ce qu'ils ont fait, et comment ils vous informeront de toute découverte.
- Limitez l'exposition. Dans la mesure du possible, restreignez l'accès aux consoles de gestion afin qu'elles ne soient pas joignables depuis l'internet ouvert.
Points clés à retenir
Les vulnérabilités zero-day de N-able N-central sont un exemple clair de risque lié à la chaîne d'approvisionnement : un seul outil de gestion défaillant peut placer de nombreuses organisations dans la même situation en même temps. La décision du fournisseur de passer hors ligne montre à quel point cette exposition peut être grave.
La prochaine étape pratique est simple. Vérifiez l'état des correctifs, examinez qui dispose d'un accès administrateur et surveillez de près l'activité des administrateurs. Si vous dépendez d'un MSP, interrogez-le sur N-central dès aujourd'hui plutôt que d'attendre qu'on vous le dise. Pour les détails les plus récents et les plus exacts, fiez-vous aux avis de sécurité officiels de N-able et aux communications de votre fournisseur, car les recommandations concernant ce type d'incident peuvent changer rapidement.
