ช่องโหว่ที่เปิดเผยนั้นรวมถึง Remote Code Execution (RCE), การข้ามการยืนยันตัวตน, การเปิดเผยข้อมูลรับรอง, การเขียนไฟล์ตามอำเภอใจ, Directory Traversal, การฉีด XEE และ XSS
นักวิจัยด้านความปลอดภัยได้สาธิตการโจมตีแบบ XXE-to-RCE ที่ร้ายแรงโดยไม่ผ่านการยืนยันตัวตน ซึ่งสามารถใช้ประโยชน์จากฟังก์ชัน service-import ของ N-central เพื่อขโมยเซสชันท้องถิ่น, รีเซ็ตรหัสผ่าน และรันคำสั่งบนเซิร์ฟเวอร์ในฐานะผู้ใช้ nable
นักวิจัยระบุว่าเขาตัดสินใจเปิดเผย Zero-day เหล่านี้โดยไม่ได้แจ้ง N-able เนื่องจากบริษัทถูกกล่าวหาว่าเพิกเฉยต่อช่องโหว่ที่เขาเคยรายงานเกี่ยวกับผลิตภัณฑ์ N-able อื่นเมื่อ 5-6 เดือนก่อน
ศัพท์ที่ควรรู้
- N-central – แพลตฟอร์ม RMM ของ N-able สำหรับการบริหารจัดการและตรวจสอบระยะไกล Zero-day vulnerabilities – ช่องโหว่ด้านความปลอดภัยที่ยังไม่มีแพตช์ป้องกัน ณ ตอนที่ถูกค้นพบ RCE – Remote Code Execution คือการที่ผู้โจมตีสามารถรันคำสั่งบนเซิร์ฟเวอร์จากระยะไกลได้ XXE Injection – เป็นการโจมตีโดยใช้ประโยชน์จากฟังก์ชันการนำเข้าข้อมูล XML ของแอปพลิเคชัน On-Premises – หมายถึงการติดตั้งและใช้งานซอฟต์แวร์บนเซิร์ฟเวอร์ของลูกค้าเอง ไม่ใช่บนคลาวด์
ที่มา: bleepingcomputer.com