بهره‌برداری فعال از آسیب‌پذیری روز صفر 4EverAble2Shell در پلتفرم N-able N-central
New N-able "4EverAble2Shell" zero-day exploited hours after PoC released
پژوهشگران امنیتی از شناسایی و بهره‌برداری فعال از یک آسیب‌پذیری روز صفر با نام 4EverAble2Shell در پلتفرم مدیریت از راه دور N-able N-central خبر داده‌اند. این حمله که منجر به دسترسی سطح ریشه (root) به سرورها می‌شود، تاکنون دست‌کم ۲۱ سیستم را آلوده کرده و برای استخراج غیرمجاز ارز دیجیتال مورد استفاده قرار گرفته است.
جزئیات فنی و زنجیره حمله
آسیب‌پذیری 4EverAble2Shell توسط پژوهشگری به نام Sean Bales افشا شده است. این حمله از ترکیب یک آسیب‌پذیری در Apache Axis با شناسه CVE-2026-90436 و یک ضعف در ارتقای سطح دسترسی در N-central تشکیل شده است. مهاجمان با بهره‌برداری از این زنجیره، ابتدا به عنوان حساب کاربری nable دستوراتی را اجرا کرده و سپس با استفاده از ابزار setLDFileOwner و لینک‌های نمادین، فایل‌های سیستمی را تغییر می‌دهند تا به سطح دسترسی root دست یابند.
علاوه بر این، آسیب‌پذیری دیگری با نام Agent2Shell نیز معرفی شده که امکان اجرای دستورات با سطح دسترسی SYSTEM را در دستگاه‌های ویندوزی فراهم می‌کند. در حملات مشاهده شده، مهاجمان از طریق یک اسکریپت مخرب، بدافزار استخراج ارز دیجیتال XMRig را روی سرورهای آلوده نصب کرده‌اند.
گستره حملات و واکنش شرکت N-able
بر اساس گزارش‌های شرکت‌های امنیتی، حملات تنها ساعاتی پس از انتشار عمومی کدهای اثبات مفهوم (PoC) توسط Bales آغاز شده است. حداقل ۲۱ سرور تولیدی در کشورهای مختلف از جمله ایالات متحده، کانادا، آفریقای جنوبی، بریتانیا، آلمان، فرانسه و سوئد تحت تأثیر قرار گرفته‌اند که ۱۹ مورد از آن‌ها از آخرین به‌روزرسانی امنیتی (Hotfix 2) استفاده می‌کردند.
شرکت N-able در واکنش به این افشاگری‌ها، محدودیت‌هایی را بر روی برخی ویژگی‌ها و یکپارچه‌سازی‌های پلتفرم N-central اعمال کرده است. این شرکت ضمن غیرفعال کردن یکپارچه‌سازی با Intune، در حال توسعه اصلاحیه‌های تکمیلی برای مقابله با این تهدیدات است.
نکته‌های کلیدی
- شناسایی آسیب‌پذیری روز صفر 4EverAble2Shell در پلتفرم N-central.
- استفاده از زنجیره حمله برای دسترسی root و نصب بدافزار استخراج ارز دیجیتال XMRig.
- تأیید آلودگی ۲۱ سرور تولیدی که اکثر آن‌ها دارای آخرین وصله‌های امنیتی بودند.
- افشای آسیب‌پذیری Agent2Shell برای اجرای دستورات با سطح دسترسی SYSTEM در ویندوز.
- اعمال محدودیت‌های امنیتی توسط N-able بر روی ویژگی‌های پلتفرم و APIهای قدیمی.
توصیه‌های منبع
جمله‌های خود خبر، بدون تغییر: BleepingComputer
“The company says it has disabled the Intune integration as a precaution and is urging on-premises customers to ensure Legacy API access is disabled, which is already the default.”
“Organizations running N-central should ensure that Legacy APIs are disabled and investigate suspicious requests to /dms/services/ServerUI, especially those referencing jline.internal.TerminalLineSettings.”
“Huntback also recommends checking for unexpected xvd.service systemd services, cryptocurrency mining processes, and files created under /tmp/.xvd or /var/tmp/.xvd.”