Krytyczna podatność w platformie N-Able N-Central polega na deserializacji niezaufanych danych (CWE-502), co umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu. Podatność jest aktywnie wykorzystywana przez cyberprzestępców i figuruje w katalogu CISA KEV.
▸ Pokaż oryginał (EN)
Deserialization of Untrusted Data vulnerability in N-able N-central allows Local Execution of Code.This issue affects N-central: before 2025.3.1.
Mechanizm podatności opiera się na nieprawidłowej obsłudze procesu deserializacji danych wejściowych — aplikacja przetwarza spreparowane, niezaufane dane bez odpowiedniej weryfikacji ich zawartości. Zalogowany użytkownik (wymagane uprawnienia na poziomie PR:L) może przesłać złośliwy payload, który podczas deserializacji zostaje wykonany po stronie serwera. Wektor ataku jest sieciowy, a jego wykorzystanie nie wymaga interakcji ze strony ofiary ani szczególnych warunków technicznych.
Skuteczne wykorzystanie podatności pozwala atakującemu na wykonanie dowolnego kodu na serwerze (RCE), co w połączeniu z wysokim wpływem na poufność, integralność i dostępność zarówno systemu atakowanego, jak i systemów z nim powiązanych (SC:H/SI:H/SA:H), może prowadzić do pełnego przejęcia infrastruktury zarządzanej przez N-Central.
Należy niezwłocznie zaktualizować N-Able N-Central do wersji 2025.3.1 lub nowszej. Patch dostępny jest zgodnie z ogłoszeniem producenta opublikowanym 13 sierpnia 2025 r. pod adresem: https://status.n-able.com/2025/08/13/announcing-the-ga-of-n-central-2025-3-1/. Ze względu na aktywne exploitowanie aktualizacja powinna być traktowana priorytetowo.
N-Able N-Central we wszystkich wersjach poprzedzających 2025.3.1
Podatność figuruje w katalogu CISA Known Exploited Vulnerabilities (KEV), co potwierdza jej aktywne wykorzystywanie w środowiskach produkcyjnych. Producent opublikował wersję naprawczą 2025.3.1 w dniu 13 sierpnia 2025 r., dzień przed oficjalną publikacją CVE.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XN Able N Central
APPN-Able< 2025.3.1
CISA KEV — szczegółyi
- Dostawcai
- N-able
- Produkti
- N-Central
- Data dodania do KEVi
- 13 sierpnia 2025
- Termin remediation (USA)i
- 20 sierpnia 2025(po terminie)
Zastosuj mitygacje zgodnie z instrukcjami producenta, postępuj zgodnie z wytycznymi BOD 22-01 dla usług chmurowych lub zaprzestań korzystania z produktu, jeśli mitygacje są niedostępne.
▸ Pokaż oryginał (EN)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
N-able N-Central zawiera lukę typu insecure deserialization, która może prowadzić do command execution.
▸ Pokaż oryginał (EN)
N-able N-Central contains an insecure deserialization vulnerability that could lead to command execution.
Powiązane podatności
OS Command Injection w N-able N-central (przed wersją 2025.3.1)
Authentication bypass via path traversal w N-Able N-Central
RCE przez deserialization w N-Able N-Central Software Probe
Authentication Bypass interfejsu użytkownika w N-Able N-Central
Authentication Bypass w N-Able N-Central poprzez session rebinding (Entra SSO)