N-able heeft zijn N-central cloudomgeving offline gehaald na openbaarmaking van meer dan 30 zero-day kwetsbaarheden, waaronder kritieke exploits voor volledige overname.
N-able heeft zijn gehoste N-central omgevingen offline gehaald en klanten met on-premises servers geadviseerd deze tijdelijk uit te schakelen, nadat een securityonderzoeker meer dan 30 vermeende zero-day kwetsbaarheden openbaar maakte. De kwetsbaarheden, inclusief exploits die aanvallers volledige controle over systemen kunnen geven, werden op 8 november gedeeld door onderzoeker Sean Bales in een GitHub-repository genaamd Able2Shell.
N-central is een remote monitoring en management (RMM) platform dat door managed service providers en IT-teams wordt gebruikt om klantapparatuur en netwerken op afstand te beheren en beveiligen. De kwetsbaarheden zijn getest op een pre-release versie van N-central Appliance 2026.4.0.31, maar Bales vermoedt dat ook eerdere versies kwetsbaar zijn. De gevonden problemen omvatten onder meer authenticatieomzeilingen, credential disclosure, willekeurige bestandswijzigingen, directory traversal, cross-site scripting (XSS), XML external entity (XXE) injecties en remote code execution (RCE).
Een van de ernstigste kwetsbaarheden betreft een ongeauthenticeerde XXE in de service-importfunctie van N-central. Hiermee kan een aanvaller een vertrouwde lokale sessie stelen, een accountwachtwoord resetten en commando's uitvoeren op de server als de gebruiker 'nable'. Daarnaast kan met dezelfde exploit een standaard beheerdersaccount worden aangemaakt met door de aanvaller beheerde inloggegevens, waarmee volledige toegang tot de N-central beheerinterface wordt verkregen. Bales deelde een video waarin deze aanval wordt gedemonstreerd, inclusief het aanmaken van het beheerdersaccount, inloggen en uitvoeren van commando's met verhoogde rechten.
Andere kwetsbaarheden betreffen onder meer een opgeslagen XSS die root-commando's kan uitvoeren wanneer een beheerder kwaadaardige patchmetadata bekijkt, en een privilege-escalatiefout waarmee code onder het nable-account rootrechten kan verkrijgen. Volgens Bales is de ongeauthenticeerde XXE-naar-RCE exploit de meest kritieke van de onthulde kwetsbaarheden.
Na de openbaarmaking meldde N-able een kritieke beveiligingsincident en schakelde wereldwijd de gehoste N-central omgevingen uit in Amerika, Europa en Azië-Pacific. Hoewel niet alle kwetsbaarheden onafhankelijk zijn geverifieerd, bevestigde N-able dat er een hotfix in ontwikkeling is, wat de legitimiteit van de zero-days ondersteunt. Het bedrijf gaf aan dat er tot nu toe geen actieve exploitatie is waargenomen en dat de bescherming van klanten prioriteit heeft. Klanten met on-premises servers kregen het dringende advies hun systemen offline te halen totdat verdere instructies volgen.
In een statusupdate gaf N-able aan dat de hotfix nog wordt ontwikkeld en getest, en dat er geen aanwijzingen zijn voor ongeautoriseerde toegang tot data. De klassieke N-central omgeving blijft onbeschikbaar, maar diensten van Ecoverse via N-able Login functioneren nog wel. N-able communiceert updates over de situatie regelmatig, maar heeft nog geen tijdspad gegeven voor het herstel van de N-central diensten.
