N-able N-centralを標的とする新たなエクスプロイトチェーンが公開されました。最新の緊急ホットフィックスを適用した後でも、管理アプライアンスと、そこに接続されたWindowsエンドポイントが侵害される恐れがあります。
「4EverAble2Shell」と「Agent2Shell」と名付けられたこれらのエクスプロイトは、N-central 2026.4 HF2(ビルド2026.4.1.26)に対して有効だと報告されています。
コードを公開したのは、研究者のSean Bales氏です。公開は、N-ableが11月10日に公表したセキュリティアップデートの後に行われました。このアップデートでは、先に明らかになった「Able2Shell」に関連する7件のCVEが修正されていました。
今回の発見は、新たな攻撃経路が存在することを示すものです。以前パッチが適用された脆弱性がすべて依然として悪用可能であると示すものではありません。4EverAble2Shellは、認証不要のリモートコード実行チェーンであり、最終的にN-centralアプライアンスのroot権限を奪取します。
悪用にはLegacy API機能が有効になっている必要があります。これは非デフォルトの設定です。Huntressは調査の中でこの前提条件を確認しました。Legacy APIを無効にしているHF2サーバーは、このチェーンの影響を受けないとしています。
この点は重要です。対象のインターフェースにアクセスできる状態が続く限り、HF2を適用するだけではリスクは解消されません。攻撃ではApache AxisのCVE-2026-90436と、N-centralに存在する別の権限昇格の脆弱性を組み合わせます。
分析によると、最初のコード実行はnableサービスアカウントの権限で行われます。その後、チェーンはアプライアンスの特権機能を悪用してroot権限を取得します。
Sean Bales氏は、setLDFileOwnerヘルパーとシンボリックリンクを悪用して特権スクリプトを改ざんし、続いてserverControl経由で実行する手口を特定しました。
この一連の流れでは、2つのセキュリティ境界を突破します。まず、認証なしのネットワークアクセスからサービスアカウントでのコード実行に至り、次にサービスアカウントでの実行からアプライアンス全体の制御へと進みます。Agent2Shellは、N-centralとWindowsのAgentおよびProbeとの間の通信を標的とします。
Huntressは10件を超える問題を報告しています。その中には、サーバーに到達できる認証不要の攻撃者が、管理対象のWindowsデバイス上でSYSTEM権限などでコマンドを実行できる2つのチェーンが含まれます。Bales氏は、悪用の前提条件としてアプライアンスIDの把握を挙げています。
調査担当者は、N-ableのコンポーネントが起動した想定外のエンコード済みPowerShellコマンド、改変されたWindows Software Probeのファイル、原因不明のサービス再起動を調べる必要があります。これらのエンドポイント向けチェーンでもLegacy APIが必要かどうかは、確認されていません。
悪用は、すでに実験室での実証段階を超えています。Huntbackは、XMRigによる暗号資産マイニングに関連して、本番環境のN-centralサーバー21台が侵害されたと報告しました。このうち19台はHF2ビルドを報告していました。
これとは別に、Previdianはエクスプロイト公開の直後にプロービングを観測しました。N-ableは11月12日のアドバイザリーで、侵害の兆候は確認していないと述べました。しかしその後、外部の研究者が攻撃の成功を報告しています。
こうした食い違いは、観測できる範囲やタイミングの違いを反映したものです。すべての環境が侵害されたことを示すものではありません。管理者は、オンプレミスのアプライアンスでLegacy APIを無効にしてください。運用上どうしても必要な場合は、インターネットへの公開を防ぐ必要があります。
N-ableは、予防措置としてIntuneとの連携機能も無効にしました。防御側は、不審な/dms/services/ServerUIへのリクエスト、想定外のxvd.serviceサービス、/tmp/.xvdや/var/tmp/.xvd配下のマイニング関連の痕跡を調べてください。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームでの導入を検討する
翻訳元: https://cyberpress.org/new-n-able-n-central-zero-days/
