N-central

Betroffen ist die Fernwartungs- und Verwaltungsplattform N-central von N-able, mit der Dienstleister eine Vielzahl von Kundensystemen zentral betreuen. Die Schwachstelle erlaubt es, die Anmeldeprüfung über einen alternativen Pfad beziehungsweise Kanal zu umgehen: Statt den regulären Weg mit gültigen Zugangsdaten zu nehmen, kann ein Angreifer die Authentifizierung auf einer anderen Route ansprechen, die nicht ausreichend abgesichert ist. Im Ergebnis lässt sich die Anmeldung aushebeln und ein bestehendes Benutzerkonto übernehmen. Hintergrund ist eine unvollständige Korrektur einer zuvor behobenen Schwachstelle: Der ursprüngliche Patch hat den Fehler nicht vollständig geschlossen, sodass der Angriffsweg weiterhin nutzbar blieb. Da N-central als zentrale Verwaltungsinstanz weitreichende Rechte auf die angebundenen Systeme besitzt, kann eine Kontoübernahme weit über die Plattform selbst hinaus wirken.