研究者が30件超のゼロデイを公開、N-ableが「N-central」をオフラインに

N-ableは月曜日、セキュリティ研究者が30件を超えるゼロデイ脆弱性とされる情報を公開したことを受け、ホスト型のN-central環境をオフラインにしました。

同社は声明で、「予防措置として、環境の保護と適切な修復対応を進める間、ホスト型N-central環境を一時的にオフラインにします」と説明しています。

N-centralと関連サービスは引き続きアクセスできない状態ですが、N-ableによると、脆弱性の検証と修正プログラムの作成は進展しています。修正は11月10日の正午ごろに展開される見通しです。

オンプレミス版のN-centralについても、パッチが公開されるまでオフラインを維持するよう、同社は呼びかけています。

同社は「N-ableのエンジニアリングチームは、N-centralのホットフィックスと関連する検証作業を引き続き進めています。作業に遅れはなく順調です。安全な修復に必要な検証を維持しながら、可能な限り迅速に対応しています」と述べました。

N-ableはまた、これらの脆弱性がN-central環境に対して悪用された証拠は確認していないと指摘しています。

このゼロデイ脆弱性は、セキュリティ研究者のSean Bales氏が日曜日にGitHub上で公開したもので、CVE番号はまだ割り当てられていません。Bales氏は、これらの脆弱性を「Able2Shell」と名付けました。

同氏によると、これらの脆弱性を悪用すると、「nable」権限またはroot権限でのリモートコード実行（RCE）が可能になります。任意のコマンドの実行や、不正な管理者アカウントの作成、設定情報や認証情報といった機密データの漏えいにもつながるといいます。

さらにBales氏は、「nable」権限またはroot権限でのRCEに至る可能性がある4つの攻撃チェーンについても説明しています。

同氏はすべての脆弱性を対象としたPoC（概念実証）コードを公開しました。伝えられるところでは、以前に別の製品で報告したセキュリティ上の欠陥をN-ableが修正しなかったため、今回のゼロデイ公開に踏み切ったと説明しています。