ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), bilinen sömürülen güvenlik açıkları (KEV) kataloğuna N-mümkün N-Central’de iki yüksek riskli güvenlik açığı, vahşi doğada aktif sömürünün uyarı kuruluşları ekledi.
CVE-2025-8875, bir feanseralizasyon kırılganlığı ve komuta enjeksiyon kırılganlığı olan CVE-2025-8876 olarak tanımlanan her iki sorun da sistem bütünlüğüne siber güvenlik riskleri oluşturmaktadır ve işletmeler arasında derhal güvenlik eylemi yönlendirir.
Kod çözme N-mümkün N-Central Güvenlik Açıkları: CVE-2025-8875 ve CVE-2025-8876
N-Mable’ın sürüm notlarına göre, bu güvenlik açıkları, 13 Ağustos 2025’teki son güncellemeleri takiben 14 Ağustos 2025’te piyasaya sürülmeye başlayan N-Central’ın 2025.3.1 versiyonunda ele alındı. Her iki güvenlik açığı da kullanılmak üzere kimlik doğrulama gerektirirken, bunlar olmayan ortamlar için önemli bir risk olmaya devam ediyor. Başarılı bir şekilde kullanılırsa, bu kusurlar saldırganların keyfi kod veya komutlar yürütmesine izin verebilir ve bu da potansiyel olarak tam sistem uzlaşmasına yol açar.
CVE-2025-8875, özellikle güvensiz bir seansizasyon kırılganlığı anlamına gelir, bu yazılımda nesne seansizasyonu sırasında güvenilmeyen verileri yanlış kullanan yaygın bir sorundur. Kullanıldığında, bu kusur uzak saldırganların sistem işlevleri üzerinde yetkisiz kontrol kazanmasına izin verebilir.
Bu arada, komut enjeksiyon güvenlik açığı CVE-2025-8876, kimlik doğrulamalı saldırganların temel sunucuda keyfi komutları enjekte etmesine ve yürütmesine izin vererek potansiyel veri ihlallerine veya hizmet kesintilerine yol açabilir.
Anında azaltma adımları
N-Mable, tüm kullanıcıları, özellikle de şirket içi dağıtımları yönetenleri, gecikmeden 2025.3.1 sürümüne yükseltmeye çağırıyor. Şirket emriniHer iki CVE’nin detaylarının, sorumlu açıklama politikalarına uygun olarak serbest bırakılmadan üç hafta boyunca kısıtlı kalacağına karar verdi.
“N-central ortamınızın güvenliği için açılırsa potansiyel bir risk var,” diye uyardı. “Şirket içi n-central’ınızı 2025.3.1’e yükseltmelisiniz.”
Ayrıca, özellikle idari hesaplar için çok faktörlü kimlik doğrulama (MFA) etkinleştirilmeli ve uygulanmalıdır. Şirket, MFA’nın sadece bir öneri değil, bu güvenlik açıklarından elde edilen riskleri azaltmada kritik bir koruma olduğunu yineledi.
2025.3.1 sürümünde Yenilikler
Güvenlik düzeltmelerinin yanı sıra, en son N-Central sürümü, kullanılabilirlik, performans ve görünürlüğe odaklanan birkaç yeni özellik ve geliştirme getiriyor:
- Genişletilmiş Denetim Günlüğü: SSH giriş/oturum açma ve planlanan görev değişiklikleri dahil olmak üzere kullanıcı tarafından başlatılan yeni etkinlikler artık daha iyi izlenebilirlik için Syslog’a çekiliyor ve dışa aktarılıyor.
- Cihaz Yönetimi API güncellemeleri: Yöneticiler artık otomatik olarak cihazlar ekleyebilir. /API/Cihaz uç nokta, dağıtımları kolaylaştırır. Ayrıca, uygulama adları güncellenmiş varlık çağrıları ile daha açık bir şekilde görülebilir.
- Varlık etiketleme özellikleri (önizleme): Yeni özellikler, kuruluş düzeyleri, ortak, SO, müşteri ve site arasında özelleştirilebilir varlık etiketleri kullanarak cihazların kategorize edilmesine izin verir.
Bu geliştirmeler, ortakların daha fazla kontrol ve verimlilikle büyük, dağıtılmış ortamları yönetmelerine yardımcı olmak için tasarlanmıştır.
Uygunluğa odaklanmaya devam edin
N-mümkün, N-Central’ın CMMC Seviye 2 uyumlu bir versiyonuna doğru devam eden gelişimi de doğruladı. Bu uyum, ABD Savunma Bakanlığı (DOD) veya hassas federal sözleşmeleri yöneten ortaklar için çok önemlidir. Yeni sürüm, katı federal siber güvenlik standartlarını karşılamak için şirket içi dağıtımlar için uyarlanıyor.
Hata Düzeltmeleri Adres Sistemi Kararlılığı
2025.3.1 güncellemesine bir dizi hata düzeltmesi de dahil edildi, uzun parolalar, kırık uzaktan destek konfigürasyonları, modası geçmiş varlık eşlemeleri ve tanımlayıcı taşmalarının neden olduğu sistem hataları nedeniyle başarısız PSA dışa aktarma gibi sorunları hedefleyen.
Dikkate değer düzeltmeler arasında:
- Daha yumuşak uzak destek oturumları için kontrol kurulum hataları çözüldü.
- Ağ paylaşımları nedeniyle planlanan görevler düzeltildi.
- Kötü biçimli HP tahrik eşlemeleri ve gereksiz varlık adı önekleri de ele alınmıştır.
Çözüm
CISA’nın bilinen sömürülen güvenlik açıkları kataloğuna CVE-2025-8875 ve CVE-2025-8876’nın dahil edilmesi, bu aktif olarak sömürülen kusurların N-mümkün olan n-central’deki kritik doğasını vurgulamaktadır. Hem bir fesozlama güvenlik açığı hem de bir komut enjeksiyon güvenlik açığının varlığı, özellikle sağlam erişim kontrollerinden veya güncel güvenlik uygulamalarından yoksun sistemlerde doğrudan bir risk oluşturur.
Kuruluşlar, N-Central sürüm 2025.3.1’e yükseltme, çok faktörlü kimlik doğrulamayı (MFA) uygulamaya, şüpheli etkinlikleri izlemeye ve güvenlik duruşlarını güçlendirmek için gelişmiş denetim günlüğü özelliklerinden yararlanmaya şiddetle teşvik edilir. Tehdit aktörleri zaten bu güvenlik açıklarından yararlanırken, zamanında eylem sadece önerilmez; zorunludur.