N-able-ն անջատումից հետո N-central-ի անվտանգության շտկումներ է թողարկել

N-able-ը թողարկել է N-central 2026.4 HF2 անվտանգության թարմացումը, որը վերացնում է հրապարակայնորեն բացահայտված խոցելիություններից մի քանիսը, այդ թվում՝ ամենավտանգավոր համարվողները։ Շտկումները թողարկվել են այն բանից հետո, երբ ընկերությունը նոյեմբերի 9-ին որպես նախազգուշական քայլ անջատել էր Ամերիկա աշխարհամասում, Եվրոպայում և Ասիա-խաղաղօվկիանոսյան տարածաշրջանում իր հոսթինգով տրամադրվող N-central համակարգերը։

N-central-ը ՏՏ թիմերին և ծառայություններ մատուցողներին թույլ է տալիս հեռավար կառավարել ու պաշտպանել հաճախորդների սարքերն ու ցանցերը։ N-able-ը հայտնել է, որ իր հոսթինգով տրամադրվող բոլոր սերվերները թարմացվել են։ Ընկերությունը սեփական սերվերներում N-central գործարկող հաճախորդներին խստորեն խորհուրդ է տալիս հնարավորինս արագ թարմացնել համակարգը և հետևել իր հրահանգներին՝ նախքան բնականոն հասանելիությունը վերականգնելը։

Խոցելիությունների բացահայտումն ու անվտանգության ռիսկը

Անվտանգության հետազոտող Շոն Բեյլսը նոյեմբերի 8-ին հրապարակել է ավելի քան 30 ենթադրյալ խոցելիություն՝ դրանց շահագործման օրինակներով՝ GitHub-ում հրապարակված Able2Shell շտեմարանում։ Զրոյական օրվա խոցելիությունը թերություն է, որը բացահայտվում է նախքան դրա շտկման հասանելի դառնալը։ Բեյլսն ասել է, որ թերությունները փորձարկել է N-central Appliance 2026.4.0.31-ի նախաթողարկումային տարբերակում և կարծում է, որ դրանց մեծ մասը, եթե ոչ բոլորը, առկա են նաև ավելի վաղ տարբերակներում։

Ենթադրյալ թերությունները ներառում են մուտքի ստուգումները շրջանցելու, մուտքի տվյալները բացահայտելու և հեռավար հրամաններ գործարկելու հնարավորություններ։ Բեյլսը ներկայացրել է խոցելիության շահագործման տեսագրություն, որի տերմինալի ելքում հաղորդվում էր ադմինիստրատորի հաշվի ստեղծման, մուտքի իսկության հաստատման, պաշտպանված վարչական գործառույթներին հասանելիության և nable օգտատիրոջ անունից հրամանների հեռավար կատարման մասին։ Նա ասել է, որ խոցելիությունները հայտնաբերելիս օգնություն է ստացել գերբանականությունից (ԳԲ)։ N-able-ն ընդունել է կրիտիկական խոցելիությունների առկայությունը, սակայն BleepingComputer-ը հայտնել է, որ ինքնուրույն չի ստուգել ներկայացված բոլոր թերությունները։

N-able-ն ի սկզբանե հայտնել էր, որ ակտիվ շահագործման կամ տվյալներին չարտոնված հասանելիության ապացույցներ չի գտել։ Կիբեռսպառնալիքների հետախուզությամբ զբաղվող Defused ընկերությունն ավելի ուշ հայտնել է, որ նկատել է N-central համակարգերի զննում, այդ թվում՝ անանուն գործակալի սեանսների բացում, սարքի կազմաձևման տվյալների ստացում և առանց իսկությունը հաստատելու գործառույթներին հասանելիություն ստանալու փորձեր։ N-able-ը չէր նշել, որ թերությունները շահագործվում են իրական միջավայրում։

Ավելի վաղ տեղեկացումներն ու հաճախորդներին տրված հրահանգները

Բեյլսն ասել է, որ հրապարակել է N-central-ի խոցելիությունները՝ նախապես չտեղեկացնելով N-able-ին, քանի որ ընկերությունն, ըստ նրա, չէր շտկել մեկ այլ արտադրանքում մոտ հինգից վեց ամիս առաջ իր հայտնած հեռավար կոդի կատարման երկու խոցելիությունները և արտոնությունների բարձրացման մի թերությունը և չէր պատասխանել նախորդ չորսից վեց շաբաթների ընթացքում ուղարկած հետագա նամակներին։ N-able-ը բացահայտումն անպատասխանատու է անվանել, սակայն չի անդրադարձել նրա ավելի վաղ տեղեկացումների և ենթադրաբար չպատասխանված նամակների մասին հարցերին։

Բեյլսն ասել է, որ N-able-ի ղեկավարները, այդ թվում՝ գլխավոր և տեխնիկական տնօրենները, հետագայում խնդրել են իրեն հեռացնել շտեմարանը և աշխատել ընկերության հետ, բայց չեն սպառնացել իրեն։ N-able-ը հայտնել է, որ N-able Login-ի միջոցով հասանելի Ecoverse ծառայությունները շարունակել են աշխատել, մինչ N-central-ի դասական միջավայրը հասանելի չէր։

Նոյեմբերի 9-ին N-able-ը չէր նշել, թե երբ կվերականգնվի աշխատանքը, և նախատեսում էր նոր տեղեկություններ հրապարակել յուրաքանչյուր չորս ժամը մեկ կամ ավելի շուտ, եթե նոր տվյալներ ի հայտ գային։ Իր վերջին հրահանգներով ընկերությունը սեփական սերվերներ ունեցող հաճախորդներին, որոնց ավելի վաղ խորհուրդ էր տվել դրանք անջատված պահել, հորդորում է թարմացնել համակարգը և հետևել հրապարակված ցուցումներին՝ նախքան հասանելիությունը վերականգնելը։