N-able สั่งปิดระบบ N-central ชั่วคราว หลังพบช่องโหว่ Zero-Day กว่า 30 รายการ

N-able ประกาศปิดระบบสภาพแวดล้อม N-central แบบ Hosted เมื่อวันจันทร์ที่ผ่านมา เพื่อตอบสนองต่อกรณีที่นักวิจัยด้านความปลอดภัยเปิดเผยช่องโหว่ที่อ้างว่าเป็น Zero-day มากกว่า 30 รายการสู่สาธารณะ

"เพื่อเป็นการป้องกันไว้ก่อน เราจึงปิดระบบสภาพแวดล้อม Hosted N-central ของเราเป็นการชั่วคราว ในขณะที่ดำเนินการที่จำเป็นเพื่อรักษาความปลอดภัยและเร่งแก้ไขปัญหา" บริษัท ระบุ

ในขณะที่บริการ N-central ยังไม่สามารถเข้าถึงได้ N-able เผยว่ามีความคืบหน้าในการตรวจสอบช่องโหว่และกำลังเร่งสร้างตัวแก้ไข โดยคาดว่าจะเริ่มใช้งานได้ในช่วงเที่ยงของวันที่ 10 พฤศจิกายน นอกจากนี้ บริษัทยังแนะนำให้ผู้ที่ติดตั้ง N-central แบบ On-premises ปิดระบบไว้ก่อนจนกว่าจะมีการปล่อยแพตช์อย่างเป็นทางการ

ฝ่ายวิศวกรรมของ N-able กำลังเร่งพัฒนา Hotfix สำหรับ N-central และดำเนินการตรวจสอบอย่างต่อเนื่องเพื่อให้มั่นใจในความปลอดภัยสูงสุด โดยระบุว่าขณะนี้ยังไม่พบหลักฐานว่าช่องโหว่ดังกล่าวถูกนำไปใช้โจมตีสภาพแวดล้อมระบบของตนแต่อย่างใด

ข้อมูลช่องโหว่ Zero-day เหล่านี้ถูก เผยแพร่ บน GitHub เมื่อวันอาทิตย์โดยนักวิจัย Sean Bales ภายใต้ชื่อเรียกกลุ่มช่องโหว่ว่า Able2Shell แม้ปัจจุบันจะยังไม่มีการกำหนดหมายเลข CVE ก็ตาม

Bales ระบุว่าจุดอ่อนดังกล่าวช่วยให้ผู้โจมตีสามารถรันโค้ดจากระยะไกล (RCE) ด้วยสิทธิ์ 'nable' หรือ root เพื่อรันคำสั่งตามอำเภอใจ สร้างบัญชีผู้ดูแลระบบโดยไม่ได้รับอนุญาต หรือเข้าถึงข้อมูลที่ละเอียดอ่อน เช่น ข้อมูลการตั้งค่าและข้อมูลระบุตัวตน (credentials) ได้ โดยเขายังได้อธิบายถึง Exploit chains 4 รายการที่นำไปสู่การโจมตีแบบ RCE ไว้ด้วย

ทั้งนี้ นักวิจัยได้เผยแพร่ PoC สำหรับทุกช่องโหว่ พร้อมระบุเหตุผลที่ตัดสินใจเปิดเผย Zero-days สู่สาธารณะว่า เกิดขึ้นหลังจาก N-able ประสบความล้มเหลวในการแก้ไขข้อบกพร่องด้านความปลอดภัยที่เขาเคยรายงานในผลิตภัณฑ์อื่นไปก่อนหน้านี้