N-ableのIT管理ツールにゼロデイ脆弱性 - 米当局が悪用に注意喚起

米当局は、SolarWindsからスピンオフしたN-ableが提供しているIT管理ツール「N-able N-Central（旧SolarWinds N-central）」に関する複数の脆弱性がゼロデイ攻撃に悪用されているとして注意を呼びかけた。N-ableでは脆弱性を修正するアップデートをリリースした。

「N-able N-Central」は、マネージドサービスプロバイダ（MSP）や組織のIT部門で活用されているIT資産管理ツール。ネットワークやエンドポイントの監視、アップデート管理などの機能を提供している。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間2025年8月13日、「悪用が確認された脆弱性カタログ（KEV）」へ同製品に関する脆弱性「CVE-2025-8875」「CVE-2025-8876」を追加。脆弱性に対する攻撃に注意を促した。

「CVE-2025-8875」は、信頼できないデータをデシリアライズするため、任意のコマンドを実行されるおそれがある脆弱性。一方「CVE-2025-8876」は、ユーザー入力の検証不備に起因するコマンドインジェクションの脆弱性だという。

N-ableでは、現地時間2025年8月13日にリリースした「N-central 2025.3.1 GA」で脆弱性を修正。これらの脆弱性を悪用するには認証が必要であると説明している。

CISAではこれら脆弱性がすでに悪用されていることを受け、米行政機関に対して同月20日までに対策を講じるよう求めるとともに、同製品を利用する組織に対しても広く注意を呼びかけている。

（Security NEXT - 2025/08/14 ）ツイート

N-ableのIT管理ツールにゼロデイ脆弱性 - 米当局が悪用に注意喚起

関連リンク

PR

関連記事