Impatto Sistemico

Critico (87.17)

Sintesi

Rilevate 2 ulteriori catene di exploit, denominate “Agent2Shell” e “4EverAble2Shell”, per lo sfruttamento di vulnerabilità zero-day in N-central, piattaforma di monitoraggio e gestione remota degli ambienti informatici. Entrambe le catene sono considerate un’estensione della precedente serie di vulnerabilità nota come “Able2Shell”, già trattate nell’ambito dell’alert AL07/261110/CSIRT-ITA . Lo sfruttamento di tali catene consentirebbe l’esecuzione remota di codice con privilegi elevati sul server di gestione e sugli endpoint Windows amministrati tramite la piattaforma.

Tipologia

• Authentication Bypass
• Data Manipulation
• Denial of Service
• Information Disclosure
• Privilege Escalation
• Remote Code Execution
• Security Restrictions Bypass
• Spoofing
• Tampering

Descrizione e potenziali impatti

Rilevate due ulteriori catene di exploit, denominate “Agent2Shell” e “4EverAble2Shell”, per lo sfruttamento di vulnerabilità zero-day in N-central, piattaforma di monitoraggio e gestione remota degli ambienti informatici. Entrambe le catene sono considerate un’estensione della precedente serie di vulnerabilità nota come “Able2Shell”, già trattate nell’ambito dell’alert AL07/261110/CSIRT-ITA .

Di seguito la descrizione delle catene:

• La catena 4EverAble2Shell consente a un attaccante remoto non autenticato di ottenere l’esecuzione arbitraria di codice con privilegi root sul server N-central. La catena sfrutta una vulnerabilità di Apache Axis identificata come CVE-2026-90436 e ulteriori funzionalità interne di N-central che consentono l’elevazione dei privilegi. Il punto di ingresso è rappresentato dall’endpoint pubblico SOAP basato su Apache Axis, il quale elabora dati controllati dall’attaccante contenuti in un messaggio di errore SOAP (SOAP Fault) prima che venga effettuata la validazione del tipo dell’oggetto ricevuto. Durante questa fase, il componente JLine istanzia una classe destinata alla gestione delle impostazioni del terminale e incorpora il valore fornito dall’attaccante in un comando di sistema eseguito con i privilegi dell’utente di servizio nable . Ottenuta così un’esecuzione iniziale di codice, la catena sfrutta una sequenza di funzionalità applicative interne, in particolare gli helper setLDFileOwner e serverControl , per elevare i privilegi fino a root . Lo sfruttamento non richiede autenticazione preventiva ma presuppone che la funzionalità Legacy API sia abilitata sull’istanza vulnerabile. Una volta completata la catena, l’attaccante può eseguire comandi arbitrari sul server interessato con i massimi privilegi disponibili, ottenendo il pieno controllo della piattaforma di gestione e, potenzialmente, dell’infrastruttura amministrata tramite essa.

• La catena Agent2Shell consente a un attaccante remoto non autenticato di ottenere l’esecuzione arbitraria di codice sugli endpoint Windows gestiti da N-central, con privilegi NT AUTHORITY\SYSTEM . La catena sfrutta una serie di debolezze presenti nei meccanismi di comunicazione tra il server N-central e gli agenti installati sui sistemi amministrati, nonché carenze nei controlli di autenticazione e autorizzazione associati a diversi servizi applicativi. In particolare, un messaggio GenericAgentXMPPMessageExchange può essere inviato senza credenziali valide a un agente Windows online, inducendo il componente Reactive ProcessController a eseguire direttamente il comando fornito dall’attaccante con i privilegi dell’account di sistema locale. In alternativa, la catena può sfruttare funzionalità di gestione delle attività e dei file di output per depositare contenuti controllati dall’attaccante sul server e trasmettere successivamente un messaggio CodeDrop a un sistema configurato come Probe , forzando la sostituzione temporanea dell’eseguibile del relativo servizio e ottenendo così l’esecuzione di codice arbitrario. Lo sfruttamento può essere agevolato da ulteriori primitive che consentono di acquisire informazioni sugli appliance e sui dispositivi gestiti, generare sessioni applicative attendibili mediante credenziali prevedibili o recuperare materiale di autenticazione riutilizzabile. Una volta completata la catena, l’attaccante può eseguire comandi arbitrari sugli host interessati con privilegi SYSTEM , compromettendo i sistemi gestiti e utilizzandoli come punto di partenza per movimenti laterali o per la compromissione dell’intera infrastruttura amministrata tramite N-central.

Prodotti e/o versioni affette

N-central Hosted e On-Premises, incluse installazioni aggiornate alla versione 2026.4.1.26 (2026.4 HF2)

N.B. Si specifica che i prodotti elencati risultano vulnerabili alla caten a 4EverAble2Shell solo qualora la funzionalità Legacy API sia abilitata sull’istanza vulnerabile.

Azioni di mitigazione

N-able ha comunicato che negli ambienti Hosted sono state applicate direttamente misure di protezione temporanee:

• l’API legacy è disattivata per impostazione predefinita nel prodotto;
• l’integrazione Microsoft Intune è stata temporaneamente disattivata mentre vengono implementate e validate ulteriori misure di protezione. Si tratta di una misura adottata a scopo precauzionale;
• i clienti Hosted devono continuare a seguire le precedenti indicazioni fornite da N-able, in particolare per quanto riguarda l’aggiornamento di Agent e Probe.

Per le installazioni On-Premises, in linea con le dichiarazioni del vendor, si raccomanda di:

• assicurarsi che l’accesso alla Legacy API sia disabilitato: l’accesso alla Legacy API è tipicamente disabilitato per impostazione predefinita. Qualora sia stato precedentemente abilitato, seguire le istruzioni fornite da N-able per disattivarlo sui server N-central on-premises, al seguente link ;
• continuare a seguire le indicazioni già comunicate riguardanti l’Hotfix 2 (HF2), inclusi gli aggiornamenti degli Agent e dei Probe.

N-able continua a valutare le nuove informazioni rese pubbliche dal ricercatore e ha annunciato il rilascio di ulteriori aggiornamenti e misure di mitigazione, pertanto si raccomanda di monitorare il sito ufficiale del vendor.