Što su 33 N-central zero-day propusta?

To su novoobjavljene ranjivosti u N-ableovoj N-central RMM platformi koje bi mogle omogućiti preuzimanje upravljanih sustava. Pojedinosti o načinu funkcioniranja svakog propusta ostaju nepotvrđene u pregledanim izvješćima.

Zašto je N-able povukao svoje hostane poslužitelje iz upotrebe?

N-able je povukao svoje hostane N-central poslužitelje iz upotrebe kao odgovor na objavu 33 zero-day propusta, a korisnicima je rečeno da isto učine sa svojim vlastitim instalacijama.

Zašto je kompromitacija RMM-a toliko opasna za mnoge tvrtke istovremeno?

RMM platforma ima dubok, pouzdan pristup s visokim privilegijama mnogim upravljanim strojevima, a MSP može upravljati desecima ili stotinama klijentskih organizacija s jedne konzole. Kontrola nad tom platformom može značiti doseg u sve njih, često bez ikakve vidljivosti za krajnjeg korisnika.

Je li neki od ovih propusta iskorišten u stvarnom svijetu?

U članku se navodi da to ostaje nepotvrđeno u pregledanim izvješćima i o tome se ne spekulira. Čitateljima se savjetuje da dobavljačeve vlastite obavijesti smatraju autoritativnim izvorom.

N-able povukao N-central iz upotrebe nakon 33 zero-day ranjivosti

Kada sigurnosni dobavljač povuče vlastitu hostanu platformu iz upotrebe, vrijedi obratiti pozornost. To se dogodilo nakon objave 33 N-able N-central zero-day ranjivosti, skupa propusta koji bi mogli izložiti upravljane sustave preuzimanju. N-able je povukao svoje hostane N-central poslužitelje iz upotrebe, a korisnicima je rečeno da isto učine sa svojim vlastitim instalacijama.

Ovaj tekst pokriva što je poznato iz izvješća, zašto alat poput N-centrale nosi toliko rizika i što male tvrtke i klijenti pružatelja usluga upravljanja (MSP) mogu učiniti odmah.

Što znače 33 N-central propusta

N-central je N-ableova platforma za daljinsko nadziranje i upravljanje (RMM). MSP-ovi koriste slične alate za nadziranje, ažuriranje i administraciju računala i poslužitelja tvrtki koje podržavaju. Prema izvješću, 33 novoobjavljene ranjivosti mogle bi omogućiti preuzimanje upravljanih sustava.

Izraz "zero-day" ovdje je važan. Znači da su propusti objavljeni prije nego što su ispravci bili široko dostupni, pa su branitelji imali malo ili nimalo vremena za pripremu. Zato je N-ableov odgovor bio povući hostane poslužitelje iz upotrebe umjesto čekanja ciklusa zakrpa, i zato je korisnicima koji sami hostaju svoje instance savjetovano da učine isto.

Izvorni je članak kratak, pa neki detalji ostaju nepotvrđeni u izvješćima koja smo pregledali, uključujući način na koji svaki propust funkcionira i je li neki od njih iskorišten u stvarnom svijetu. Nećemo spekulirati ni o jednoj od tih točaka. Čitatelji bi trebali smatrati dobavljačeve vlastite obavijesti autoritativnim izvorom kako se situacija bude razvijala.

Zašto kompromitacija jednog RMM-a kaskadno pogađa mnoge tvrtke

RMM platforma je dizajnirana da ima dubok, pouzdan pristup strojevima kojima upravlja. Može pokretati skripte, distribuirati softver i mijenjati postavke na mnogim uređajima odjednom. Upravo je to čini korisnom za MSP, i upravo je to čini privlačnom za napadača.

Rizik proizlazi iz koncentracije:

Jedna konzola, mnogo korisnika. MSP može upravljati desecima ili stotinama klijentskih organizacija s jedne platforme. Kontrola nad tom platformom može značiti doseg u sve njih.
Privilegirano po dizajnu. RMM agenti obično rade s visokim privilegijama na krajnjim točkama, pa napadač koji kontrolira poslužitelj nasljeđuje to povjerenje.
Nevidljivo krajnjem korisniku. Mala tvrtka koja IT prepušta vanjskom pružatelju često nema izravan uvid u alate koje njezin pružatelj koristi, ni u to jesu li ti alati zakrpljeni.

To je ključna lekcija objave o N-centrali. Slaba točka možda uopće nije vaša vlastita mreža. To može biti alat za upravljanje koji se nalazi jedan korak uzvodno, a kojim upravlja netko drugi.

Što su N-able i njegovi korisnici dosad učinili

Na temelju izvješća, N-able je povukao svoje hostane N-central poslužitelje iz upotrebe kao odgovor na objavu. Korisnicima je rečeno da učine isto, što vjerojatno znači povlačenje vlastitih N-central instanci iz upotrebe dok se situacija ne riješi.

Povlačenje ključne platforme za upravljanje iz upotrebe disruptivan je korak. Za MSP-ove to može značiti gubitak mogućnosti nadziranja i zakrpe klijentskih sustava na neko razdoblje. Za njihove klijente to može značiti sporije odgovore podrške. Taj kompromis signalizira koliko ozbiljno dobavljač gleda na rizik: privremeni gubitak vidljivosti procijenjen je boljim od ostavljanja ranjive platforme izloženom.

Pojedinosti poput rokova za ispravke ili uspostavljanje nisu detaljizirane u izvoru s kojim smo radili, pa provjerite N-ableove službene obavijesti za trenutačni status.

Što to znači za vas

Kako će to utjecati na vas zavisi od vaše pozicije.

Ako sami vodite N-central ili radite u MSP-u: tretirajte smjernice dobavljača kao hitne. Slijedite N-ableove upute o povlačenju instanci iz upotrebe i ne vraćajte ih dok ne potvrdite da su preporučeni ispravci primijenjeni.

Ako ste tvrtka koja koristi MSP: možda se nikada nećete prijaviti u N-central, ali alati vašeg pružatelja mogu dotaknuti svaki uređaj koji posjedujete. Pitajte svog pružatelja koristi li N-central, je li slijedio N-ableove smjernice i kako će vam javiti ako su vaši sustavi bili pogođeni.

Ako ste pojedinac ili kućni korisnik: to vjerojatno neće izravno utjecati na vas, ali koristan je podsjetnik da softver koji koristi vaš poslodavac ili IT pružatelj može biti dio i vašeg rizika.

Kontrolni popis za pogođene korisnike: zakrpe, pregled pristupa, nadzor administratora

Ako vaša organizacija koristi N-central, izravno ili putem pružatelja, prođite kroz ove korake:

Potvrdite status zakrpa. Provjerite N-ableove službene obavijesti za ispravke koji pokrivaju objavljene propuste i provjerite jesu li primijenjeni prije vraćanja usluge.
Slijedite upute o povlačenju iz upotrebe. Ako vam je rečeno da povučete svoju instancu iz upotrebe, držite je izvan upotrebe dok dobavljač ne kaže da je sigurno nastaviti.
Pregledajte administratorski pristup. Popišite svaki račun s administratorskim pravima u vašoj RMM platformi. Uklonite račune koji su nekorišteni, dijeljeni ili nepoznati.
Rotirajte vjerodajnice. Promijenite administratorske lozinke i sve API ključeve ili tajne pohranjene u platformi ili povezane s njom te uvedite višefaktorsku autentifikaciju.
Nadzirite administratorsku aktivnost. Pregledajte zapise za neočekivane prijave, nove račune, nove skripte ili zakazane zadatke te softver distribuiran na krajnje točke koji niste odobrili.
Postavite izravna pitanja svom MSP-u. Zatražite pisano ažuriranje o njihovoj izloženosti, što su učinili i kako će vas obavijestiti o bilo kakvim nalazima.
Ograničite izloženost. Gdje je moguće, ograničite pristup upravljačkim konzolama tako da nisu dostupne s otvorenog interneta.

Ključni zaključci

N-able N-central zero-day ranjivosti jasan su primjer rizika u opskrbnom lancu: jedan neispravan alat za upravljanje može mnoge organizacije istovremeno dovesti u istu poziciju. Odluka dobavljača da povuče platformu iz upotrebe pokazuje koliko ta izloženost može biti ozbiljna.

Praktični sljedeći korak je jednostavan. Potvrdite status zakrpa, pregledajte tko ima administratorski pristup i pomno pratite administratorsku aktivnost. Ako se oslanjate na MSP, pitajte ga o N-centrali danas umjesto da čekate da vam se kaže. Za najnovije i najtočnije pojedinosti oslonite se na N-ableove službene sigurnosne obavijesti i komunikaciju svog pružatelja, jer se smjernice o ovakvim incidentima mogu brzo mijenjati.