N-able отключила облачную платформу после публикации более 30 уязвимостей
В опубликованном наборе Able2Shell исследователь показал, как получить доступ к серверу платформы удалённого управления N-able N-central без учётной записи.
Для этого он объединил несколько уязвимостей: цепочка позволяет выполнить команду на сервере и создать учётную запись администратора с заданным именем и паролем. Проверки проводились на предварительной версии N-central Appliance 2026.4.0.31.
В опубликованных материалах описана цепочка, которая начинается с обработки XML при импорте сервиса. Сервер обращается к внешней сущности до проверки пользовательской сессии. Затем атакующий использует доверенный локальный сеанс NCI, сбрасывает пароль учётной записи и запускает размещённый на сервере JSP-файл. В демонстрации команда выполняется от имени системного пользователя nable.
Для этой цепочки опубликован и вариант с созданием активной учётной записи администратора. В демонстрации показаны успешный вход через неё и доступ к защищённой функции добавления пользователей. Сценарий также предусматривает удаление созданной записи и восстановление изменённого пароля после проверки. Запись можно оставить.
Уязвимости N-central и другие способы получить доступ
В материалах описана ещё одна цепочка, для которой не нужна учётная запись. Она использует предсказуемый пароль устройства для доступа к MMS3 и позволяет записать вредоносные данные об обновлении. Когда администратор открывает сведения об этом обновлении, в его браузере срабатывает сохранённый XSS. Один из сценариев запускает после этого команду от имени nable через уязвимую обработку выражения OGNL.
Другой сценарий с тем же XSS приводит к выполнению команды с правами root. Код в сеансе администратора отправляет вредоносное значение в настройки экспорта аудита. Оно меняет создаваемую конфигурацию syslog-ng, после чего команда выполняется с повышенными правами. В наборе также приведена отдельная проверка той же ошибки в настройках экспорта аудита.
В репозитории описаны и другие способы перейти от доступа nable к правам root. Например, установщик syslog-ng запускается с повышенными правами, но берёт конфигурацию из каталога, доступного для записи пользователю nable. Другой вспомогательный механизм перед обновлением исполняет скрипт из доступного этому пользователю каталога без проверки владельца или целостности файла. Для части таких проверок сначала требуется получить возможность выполнять код от имени nable.
Доступ к данным и условия проверки
Не все опубликованные ошибки ведут к выполнению команд. Запрос без учётной записи может раскрыть имя пользователя и пароль базы данных для обнаружения устройств выбранного клиента. Другой запрос возвращает идентификаторы устройств, относящихся к разным клиентам. Также описаны получение адресов существующих локальных учётных записей через форму сброса пароля и возможность завершить активный сеанс удалённого управления без авторизации.
Некоторые проверки касаются пользователей, которые уже вошли в систему. Учётная запись Technician, согласно сценарию, может создать ещё одну активную запись с той же ролью без разрешения на управление пользователями. Учётная запись только с правом просмотра настроек устройства может передать ему конфигурацию. При этом для некоторых сценариев нужны права ProductAdmin, а демонстрация переполнения стека GenericTCP рассчитана на строго заданную лабораторную конфигурацию и проверенную сборку.
Автор набора пишет, что все проверки проводились на предварительной версии N-central Appliance 2026.4.0.31 и на момент публикации описанные уязвимости в ней не были исправлены. Он предполагает, что большинство ошибок затрагивает и более ранние версии, включая актуальную. Для переполнения GenericTCP, напротив, указано более узкое условие: воспроизведение привязано к точной проверенной сборке и изолированной лабораторной среде.
