CVE-2025-11367

Błąd sklasyfikowany jako CWE-502 (Deserialization of Untrusted Data) polega na tym, że komponent Software Probe przetwarza zewnętrznie dostarczone dane serializowane bez odpowiedniej walidacji ich pochodzenia i zawartości. Atakujący niewymagający żadnego uwierzytelnienia może dostarczyć spreparowany payload poprzez sieć, który podczas deserializacji zostaje wykonany w kontekście procesu usługi. Wektor ataku jest sieciowy, bez interakcji użytkownika i bez wymaganych uprawnień, co oznacza pełną zdalna eksploatację.

Atakujący może uzyskać zdalne wykonanie dowolnego kodu na systemie, na którym działa N-central Software Probe, a wysoki wpływ na poufność, integralność i dostępność zarówno systemu lokalnego, jak i systemów powiązanych wskazuje na możliwość całkowitego przejęcia kontroli oraz potencjalny lateral movement w zarządzanej infrastrukturze.

Należy jak najszybciej zaktualizować N-central Software Probe do wersji 2025.4 lub nowszej. Szczegółowe instrukcje dostępne są w oficjalnym biuletynie bezpieczeństwa producenta pod adresem wskazanym w referencjach. Do czasu aktualizacji należy rozważyć ograniczenie dostępu sieciowego do portów używanych przez Software Probe wyłącznie do zaufanych źródeł.

N-Able N-Central Software Probe w wersjach wcześniejszych niż 2025.4 (komponent działający na systemach Windows).

Podatność dotyczy wyłącznie komponentu Software Probe działającego na systemach Windows, co wynika z oficjalnego advisory producenta (N-central Windows Software Probe Remote Code Execution). Data publikacji advisory: 12 listopada 2025.