SolarWinds N-able が提供する N-central は、エージェントベースの企業向け管理ソリューションです。N-central のウェブインターフェースには暗号化に用いられる複数のパラメータがハードコードされているため、これらのパラメータを組み合わせることで、パスワードの解読が可能です。 ハードコードされたセキュリティコンスタントを使用する問題 (CWE-547) N-central の RSM サービスは、N-able ドメイン管理者アカウントのパスワードを AES128 で暗号化し保持します。認証済みのローカルもしくは遠隔のユーザは、RSM ウェブページのソースから暗号化されたパスワードにアクセスすることができます。この認証情報は、プログラムファイルの閲覧権限を持つローカルユーザであれば、ローカルの RSM 設定ファイルから取得することも可能です。解読に必要な暗号鍵とパラメータはハードコードされているため、ローカルユーザシステムに保存された N-central の RSM から抜き出される可能性があります。攻撃者はこの情報を用いて、N-central のドメイン管理者パスワードを復号し、取得することが可能です。 CWE-547: Use of Hard-coded, Security-relevant Constants http://cwe.mitre.org/data/definitions/547.html

[アップデートする] 発見者によると、本脆弱性は以下のバージョンで修正されているとのことですが、CERT/CC はこれらの脆弱性の開発者による修正を確認していません。製品のユーザは、速やかにアップデートを適用するとともに、開発者に詳細を確認することが推奨されます。 　* N-Able Support Manager Build 178 および N-Able N-Central Agent version 9.5.1.4514 およびそれ以降 　* N-Able Support Manager Build 178 および N-Able N-Central Agent version 10.0.0.1722 およびそれ以降