N-able și-a scos mediile găzduite N-central offline și a îndemnat clienții locali să își închidă serverele după ce un cercetător în securitate a dezvăluit public peste 30 de presupuse vulnerabilități zero-day, inclusiv exploit-uri care ar putea permite atacatorilor să preia controlul asupra sistemelor vulnerabile.
Cercetătorul în securitate Sean Bales a dezvăluit vulnerabilitățile duminică seară, 8 noiembrie, și a publicat un depozit GitHub numit Able2Shell care conține exploatări de tip proof-of-concept pentru aceste defecte.
N-central este o platformă de monitorizare și gestionare de la distanță (RMM) utilizată de furnizorii de servicii gestionate (MSP) și echipele IT pentru a monitoriza, gestiona și securiza dispozitivele și rețelele clienților de la distanță.
Cercetătorul spune că vulnerabilitățile au fost testate împotriva N-central Appliance 2026.4.0.31, o versiune pre-lansare a software-ului, și consideră că majoritatea, dacă nu toate, defectele afectează și versiunile anterioare.
Bales a confirmat, de asemenea, pentru BleepingComputer că descoperirea vulnerabilităților a fost asistată de inteligența artificială.
Vulnerabilitățile dezvăluite includ ocoliri ale autentificării, dezvăluirea acreditărilor, scrieri arbitrare de fișiere, traversarea directoarelor, scripting cross-site (XSS), injectarea de entități externe XML (XXE) și defecte de execuție a codului la distanță (RCE).
Unul dintre cele mai critice lanțuri de exploit-uri abuzează de o vulnerabilitate XXE neautentificată din funcționalitatea de import a serviciilor a N-central pentru a fura o sesiune locală de încredere, a reseta parola unui cont și a executa comenzi pe server ca utilizator nabil.
Aceeași vulnerabilitate poate crea și un cont de Administrator Implicit activat, cu acreditări controlate de atacator, oferind acces administrativ necinstit la interfața de administrare N-central.
Bales a distribuit o demonstrație video a acestei vulnerabilități, arătând ieșirea terminalului care raportează crearea cu succes a unui cont de administrator, autentificarea, accesul la funcționalități administrative protejate și executarea comenzilor de la distanță în calitate de nableutilizator.
Alte vulnerabilități dezvăluite includ un XSS stocat care poate executa comenzi ca root atunci când un administrator vizualizează metadatele patch-urilor malițioase și o eroare de escaladare a privilegiilor care permite codului care rulează sub nablecontul respectiv să execute comenzi ca root.
Bales a confirmat pentru BleepingComputer că vulnerabilitatea neautentificată XXE-to-RCE a fost cea mai critică dintre vulnerabilitățile dezvăluite.
N-able pune serverele offline în întreaga lume
După dezvăluire, N-able a anunțat un incident critic de securitate și a scos offline mediile sale găzduite N-central în regiunile Americii, Europa și Asia-Pacific.
Deși BleepingComputer nu a verificat independent toate vulnerabilitățile raportate, N-able a confirmat că dezvoltă o remediere rapidă pentru a rezolva problemele de securitate, dând credibilitate afirmațiilor cercetătorului conform cărora cel puțin unele dintre vulnerabilități sunt vulnerabilități zero-day legitime.
„N-able răspunde activ la comunicarea neresponsabilă a vulnerabilităților critice din N-central, descoperite duminică noaptea târziu, 8 noiembrie, de un cercetător independent”, a declarat N-able pentru BleepingComputer.
„Ca măsură de precauție, am scos mediul nostru găzduit N-central offline astăzi, 9 noiembrie, și am oferit îndrumări clienților care operează servere N-central locale pentru a le scoate temporar offline până la o nouă notificare.”
„Echipele noastre de Securitate, Inginerie și Operațiuni lucrează activ pentru a implementa remedierea necesară. În acest moment, nu am observat exploatarea activă a acestor vulnerabilități. Protejarea clienților noștri și a mediilor acestora rămâne prioritatea noastră principală și vom oferi actualizări suplimentare pe măsură ce acestea devin disponibile.”
Într-o actualizare ulterioară a statutului , N-able a declarat că continuă să dezvolte și să valideze o remediere rapidă și că nu a găsit nicio dovadă de exploatare activă sau acces neautorizat la date.
Deși mediul clasic N-central nu este disponibil, N-able a declarat că serviciile Ecoverse accesate prin N-able Login rămân operaționale.
N-able nu a oferit o estimare a momentului în care N-central va reveni online, dar spune că intenționează să publice actualizări la fiecare patru ore sau mai devreme dacă devin disponibile informații noi.
Un cercetător susține că rapoartele anterioare privind vulnerabilitățile au fost ignorate
Bales a declarat pentru BleepingComputer că a lansat în mod deliberat vulnerabilitățile N-central fără a notifica în prealabil N-able, deoarece compania se presupune că nu a reușit să remedieze vulnerabilitățile pe care le raportase anterior într-un alt produs N-able.
Potrivit lui Bales, el a dezvăluit două vulnerabilități de execuție de cod la distanță, fără legătură, și o eroare de escaladare a privilegiilor în urmă cu aproximativ cinci până la șase luni, dar aceste vulnerabilități rămân necorectate.
„Am dezvăluit 2 RCE-uri fără legătură pentru un alt produs N-able, împreună cu o vulnerabilitate priv esc acum 5 sau 6 luni. Acestea nu au fost încă corectate. Nu am dezvăluit niciuna dintre vulnerabilitățile 0-days pe care le-am postat aseară”, a declarat Bales pentru BleepingComputer.
De asemenea, el susține că a trimis e-mailuri de urmărire în ultimele patru până la șase săptămâni, fără a primi un răspuns.
Bales spune că experiența sa anterioară cu procesul de dezvăluire a vulnerabilităților N-able și că „nu iau dezvăluirea în serios” l-au determinat să publice exploit-urile zero-day de la N-central.
Cu toate acestea, el a spus că aceste exploit-uri vizează un produs N-able diferit de cele dezvăluite anterior.
Cercetătorul a susținut, de asemenea, că nu a primit nicio plată prin platforma de recompense pentru erori a N-able pentru rapoartele sale anterioare.
Bales a confirmat că directorii N-able, inclusiv CEO-ul și CTO-ul companiei, l-au contactat în urma dezvăluirii și i-au cerut să elimine depozitul GitHub și să colaboreze cu compania.
„Totuși, nu m-au amenințat sau ceva de genul ăsta. Mi-au cerut doar să șterg depozitul, să colaborez cu ei etc.”
BleepingComputer l-a întrebat pe N-able despre acuzațiile lui Bales referitoare la vulnerabilitățile dezvăluite anterior, stadiul aplicării patch-urilor și presupusa lipsă de răspunsuri la e-mailurile sale ulterioare.
Cu toate acestea, compania nu a răspuns la aceste întrebări, furnizând doar declarația privind incidentul de securitate de la N-central și închiderea preventivă.
Vulnerabilitățile raportate anterior nu sunt incluse în depozitul Able2Shell lansat public și se presupune că rămân necorectate.