Impatto Sistemico

Critico (86.92)

Sintesi

Rilevate molteplici vulnerabilità 0-day, complessivamente denominate “Able2Shell”, in N-central, piattaforma di monitoraggio e gestione remota degli ambienti informatici. Tali vulnerabilità potrebbero consentire ad un attaccante remoto non autenticato di eludere i meccanismi di autenticazione, acquisire credenziali e informazioni riservate, alterare configurazioni, scrivere file arbitrari ed eseguire codice con privilegi elevati. Si evidenza la disponibilità online di diverse catene di sfruttamento che utilizzano tali vulnerabilità e che, qualora sfruttate, consentirebbero l’esecuzione di codice arbitrario remoto e la completa compromissione dell’applicazione.

Tipologia

• Arbitrary File Write/Read/Deletion
• Authentication Bypass
• Data Manipulation
• Denial of Service
• Information Disclosure
• Privilege Escalation
• Remote Code Execution
• Security Restrictions Bypass
• Spoofing
• Tampering

Descrizione e potenziali impatti

Le vulnerabilità interessano N-central nelle varianti Hosted e On-Premises e sono riconducibili a una gestione non adeguata dei parametri forniti in input dall’utente, a controlli insufficienti delle autorizzazioni e a una non corretta separazione tra sessioni, clienti e dispositivi.

Si evidenza la disponibilità online di diverse catene di sfruttamento che utilizzano tali vulnerabilità e che, qualora sfruttate, consentirebbero l’esecuzione di codice arbitrario remoto e la completa compromissione dell’applicazione.

Di seguito la descrizione delle catene:

• La prima catena consente a un attaccante remoto non autenticato di ottenere l’esecuzione di codice con i privilegi dell’utente di servizio nable . Il punto di ingresso è una primitiva di scrittura anonima nel componente ServerMMS2, dovuta a un’insufficiente verifica della corrispondenza tra la sessione presentata e l’oggetto interessato dalla richiesta. Tale condizione permette di predisporre contenuti XML e JSP controllati dall’attaccante. Il documento XML viene quindi elaborato dal componente di importazione dei servizi, il cui parser risolve entità esterne prima di verificare la validità della sessione dell’interfaccia utente, determinando una vulnerabilità di tipo ” XXE pre-authentication “. Attraverso questa elaborazione viene acquisito il valore di una sessione locale NCI, successivamente riutilizzato come contesto interno attendibile per avviare il reset della password di un account conosciuto. Ottenute credenziali applicative valide, l’attaccante può autenticarsi e richiamare la JSP precedentemente predisposta, inducendo il container Jetty a eseguire i comandi incorporati con i privilegi dell’utente nable . Dopo la compromissione, la catena può essere utilizzata anche per creare un account Default Administrator abilitato con credenziali scelte dall’attaccante.
• La seconda catena parte da un meccanismo prevedibile di autenticazione dell’appliance nel componente ServerMMS3, attraverso il quale un attaccante privo di credenziali legittime può generare richieste accettate dal servizio e inserire contenuti controllati nei metadati delle patch. L’insufficiente neutralizzazione di tali contenuti determina una vulnerabilità di tipo ” stored XSS ” nella pagina di dettaglio della patch. Quando un ProductAdmin visualizza normalmente tale pagina, il browser esegue il payload persistente nel contesto della sessione amministrativa e condivide con esso l’origine dell’applicazione. Il codice eseguito nel browser può quindi inviare richieste autenticate a una funzionalità vulnerabile all’injection di espressioni OGNL . Il valore controllato dall’attaccante viene valutato sul server come espressione, permettendo di raggiungere un sink capace di eseguire comandi sul sistema operativo. La catena si conclude con l’esecuzione di codice arbitrario nel contesto dell’utente applicativo nable , pur essendo stata avviata senza credenziali proprie dell’attaccante.
• La terza catena condivide con la precedente il vettore di ingresso costituito dal meccanismo prevedibile di autenticazione di ServerMMS3 e dall’inserimento anonimo di un payload persistente nei metadati delle patch. Quando un amministratore apre la pagina di dettaglio interessata, il payload viene eseguito nell’origine dell’applicazione e può impartire richieste utilizzando la sessione amministrativa del browser. In questo caso, tuttavia, il codice non richiama il sink OGNL , ma utilizza la sessione amministrativa per inviare una configurazione manipolata alla funzionalità Audit Export . Il parametro destinato a indicare il server di destinazione non viene separato correttamente dalla grammatica della configurazione di syslog-ng , rendendo possibile l’inserimento di direttive aggiuntive. Quando la configurazione viene elaborata dal componente privilegiato, il contenuto iniettato determina l’esecuzione di comandi con UID 0. La catena converte quindi una stored XSS inserita anonimamente in una Remote Code Execution con privilegi elevati.
• La quarta catena prende avvio dall’accesso autenticato alla funzionalità SIS GenericFiles e sfrutta una directory traversal nel valore utilizzato per determinare la versione o il percorso del file. L’insufficiente validazione del percorso consente di uscire dalla directory prevista e collocare una JSP controllata dall’attaccante in una posizione elaborata dal container Jetty. Richiamando la JSP attraverso l’applicazione, il contenuto viene interpretato come codice server-side e consente di eseguire comandi con i privilegi dell’utente nable . L’accesso ottenuto viene quindi elevato sfruttando l’installatore syslog eseguibile senza password, che opera con privilegi elevati e utilizza una configurazione scrivibile dall’utente nable . L’attaccante può predisporre una configurazione malevola e farla elaborare dal processo privilegiato, ottenendo infine l’esecuzione di codice con privilegi elevati.

N-able ha temporaneamente disattivato gli ambienti N-central hosted e raccomanda ai clienti con installazioni On-Premises, di mantenere i relativi server offline fino alla pubblicazione di ulteriori indicazioni.  È in corso la predisposizione e la verifica di un aggiornamento correttivo.

Prodotti e/o versioni affette

N-central, versioni hosted e On-premise

Azioni di mitigazione

Si raccomanda di attenersi alle indicazioni del vendor – disponibili al link riportato nella sezione Riferimenti – procedendo alla temporanea disattivazione dei server N-central on-premises fino al rilascio degli aggiornamenti correttivi ufficiali e alle successive comunicazioni del fornitore per il ripristino dei servizi. È in corso la predisposizione e la verifica di un aggiornamento correttivo.

Qualora inderogabili esigenze operative impediscano la disattivazione dei sistemi, si raccomanda, quale misura di contenimento del rischio, di inibirne l’esposizione diretta su Internet, limitandone la raggiungibilità alle sole reti e ai sistemi strettamente autorizzati, anche mediante VPN, fermo restando che tali misure non garantiscono la completa mitigazione delle vulnerabilità.

Per garantire la continuità di alcune funzionalità di gestione degli endpoint, si invita inoltre a valutare l’utilizzo dei servizi alternativi resi disponibili dal produttore attraverso il portale N-able.app, ove supportati dalla configurazione adottata.