Podatność w N-able N-central umożliwia uwierzytelnionemu atakującemu zdalne wykonanie poleceń systemowych (OS Command Injection) poprzez nieprawidłową walidację danych wejściowych. Luka jest aktywnie wykorzystywana w atakach i została sklasyfikowana przez CISA jako podatność o potwierdzonym exploitowaniu.
▸ Pokaż oryginał (EN)
Improper Input Validation vulnerability in N-able N-central allows OS Command Injection.This issue affects N-central: before 2025.3.1.
Podatność wynika z nieprawidłowej walidacji danych wejściowych (CWE-20), co prowadzi do możliwości wstrzyknięcia poleceń systemowych (CWE-78, command injection). Uwierzytelniony użytkownik sieciowy może dostarczyć spreparowane dane wejściowe, które są następnie interpretowane i wykonywane jako polecenia systemu operacyjnego na serwerze. Atak nie wymaga interakcji ze strony użytkownika ani szczególnych warunków konfiguracyjnych, a wystarczy posiadanie konta z podstawowymi uprawnieniami.
Atakujący może uzyskać pełną kontrolę nad systemem operacyjnym serwera, co obejmuje odczyt, modyfikację i usunięcie danych, a także potencjalny lateral movement w sieci zarządzanej przez N-central. Ze względu na wysokie oceny wpływu na poufność, integralność i dostępność zarówno systemu lokalnego, jak i systemów powiązanych, skutki kompromitacji są krytyczne.
Należy niezwłocznie zaktualizować N-able N-central do wersji 2025.3.1 lub nowszej, zgodnie z oficjalnym ogłoszeniem producenta dostępnym pod adresem: https://status.n-able.com/2025/08/13/announcing-the-ga-of-n-central-2025-3-1/
N-able N-central we wszystkich wersjach przed 2025.3.1
Podatność figuruje w katalogu CISA Known Exploited Vulnerabilities (KEV), co potwierdza jej aktywne wykorzystywanie w środowiskach produkcyjnych. Patch (wersja 2025.3.1) został ogłoszony przez producenta 13 sierpnia 2025 r.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XN Able N Central
APPN-Able< 2025.3.1
CISA KEV — szczegółyi
- Dostawcai
- N-able
- Produkti
- N-Central
- Data dodania do KEVi
- 13 sierpnia 2025
- Termin remediation (USA)i
- 20 sierpnia 2025(po terminie)
Zastosuj mitygacje zgodnie z instrukcjami producenta, postępuj zgodnie z wytycznymi BOD 22-01 dla usług chmurowych lub zaprzestań korzystania z produktu, jeśli mitygacje są niedostępne.
▸ Pokaż oryginał (EN)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
N-able N-Central zawiera lukę umożliwiającą command injection poprzez niewłaściwe oczyszczenie danych wejściowych użytkownika.
▸ Pokaż oryginał (EN)
N-able N-Central contains a command injection vulnerability via improper sanitization of user input.
Powiązane podatności
Deserializacja niezaufanych danych w N-Able N-Central umożliwia RCE
Authentication bypass via path traversal w N-Able N-Central
RCE przez deserialization w N-Able N-Central Software Probe
Authentication Bypass interfejsu użytkownika w N-Able N-Central
Authentication Bypass w N-Able N-Central poprzez session rebinding (Entra SSO)