ثغرات أمنية توقف إن سنترال وتقلق الشركات
أوقفت N-able خدمة N-Central السحابية، ودعت العملاء إلى تعطيل النسخ المستضافة لديهم بعد نشر ثغرات قد تتيح سرقة بيانات الدخول وإنشاء حسابات إدارية. لا دليل على استغلالها، لكن موعد عودة الخدمة لا يزال مجهولاً.
إذا كانت شركتك تدير أجهزة موظفيها عن بُعد عبر N-Central، فلن تستطيع استخدام الخدمة حالياً. أخرجت N-able نسختها المستضافة في السحابة من الخدمة بعد نشر ثغرات أمنية علناً هذا الأسبوع، ودعت العملاء الذين يشغّلون النسخة على خوادمهم الخاصة إلى إيقافها أيضاً.
ماذا فعلت N-able؟
قالت الشركة إنها لم تتلقَّ أي إخطار مسبق يمنحها وقتاً لإصلاح الثغرات قبل نشرها. وتوضح صفحة حالة الخدمة أن خدمة N-Central المستضافة متوقفة، وأن الشركة تعمل على تأمين البيئات وتنفيذ الإصلاحات. وجاء في بيانها أن ذلك يجري «بينما نتخذ الإجراءات اللازمة لتأمين البيئات وتنفيذ المعالجة المناسبة».
أما العملاء الذين ينشرون N-Central على خوادمهم، فطلبت منهم الشركة إيقاف هذه النسخ. ويعود ذلك إلى خشيتها من أن يستغل مهاجمون الثغرات المنشورة للوصول إلى شبكات العملاء. وفي المقابل، تقول N-able إنه لا دليل لديها على نجاح أي استغلال في بيئة أي عميل.
لكن متحدثاً باسم الشركة لم يردّ على سؤال عمّا إذا كانت تستطيع التحقق من وقوع استغلال عبر سجلات الخوادم، أم أنها لا تملك وسيلة لذلك. وبقاء هذا السؤال دون جواب يجعل عبارة «لا دليل» أقل طمأنة مما تبدو عليه.
ما الذي يمكن أن تفعله الثغرات؟
نشر الباحث الأمني Ben Bales الثغرات على منصة GitHub يوم الأحد، وأطلق عليها اسم Able2Shell في منشور على منصة X. ووصفها بأنها قادرة على سرقة بيانات الاعتماد وإنشاء حسابات إدارية والحصول على صلاحيات الجذر (root) في أنظمة N-able المتأثرة. ويمكن الاطلاع على المواد المنشورة في GitHub. وهذا الوصف من الباحث نفسه، ولم تؤكده الشركة.
وقال Bales إنه نشر الثغرات بعد أن أخفقت N-able، بحسب قوله، في إصلاح ثغرات أبلغ عنها في منتج آخر.
لماذا يقلق توقف خدمة كهذه المؤسسات؟
تتيح N-Central للشركات الوصول إلى الأجهزة والأنظمة المتصلة بالشبكة نفسها وإدارتها عن بُعد. وتُعدّ تقنيات الوصول عن بُعد من الأهداف المفضلة للمخترقين، لأنها قد تمنحهم منفذاً واسعاً إلى شبكات الشركات وبياناتها الداخلية. وإذا اجتمعت في أداة واحدة سرقة بيانات الاعتماد وإنشاء حسابات إدارية وصلاحيات الجذر، فإن الأمر يستدعي من المؤسسات التي تعتمد عليها مراجعة سريعة لما تشغّله.
والمسألة الباقية دون جواب هي ما إذا كانت N-able قادرة على التحقق فعلياً من عدم وقوع استغلال، ومتى ستعود الخدمة المستضافة إلى العمل. ولم تحدد الشركة موعداً لذلك.
أخبار ذات صلة
وكيل Meta الذكي Muse يصل إلى ساعات Apple Watch وWear OS
روبوت يبني هيكلاً في الفضاء بمفرده للمرة الأولى
Adobe تضيف وكلاء ذكاء اصطناعي وأدوات إبداعية جديدة لمنتجاتها
