N-able ha suspendido sus servicios de N-central y pedido a sus clientes que apaguen sus servidores tras la publicación de más de 30 vulnerabilidades "zero-day" por un investigador de seguridad. Estas fallas, que incluyen la ejecución remota de código, podrían permitir a atacantes tomar el control total de los sistemas. La empresa ya trabaja en un parche correctivo y afirma que, hasta el momento, no se han detectado explotaciones activas.





N-able ha retirado sus entornos alojados de N-central y ha instado a los clientes locales a apagar sus servidores después de que un investigador de seguridad revelara públicamente más de 30 presuntas vulnerabilidades de día cero, incluyendo exploits que podrían permitir a los atacantes tomar el control de los sistemas vulnerables.

El investigador de seguridad Sean Bales reveló las vulnerabilidades a última hora del domingo 8 de noviembre y publicó un repositorio de GitHub llamado Able2Shell que contiene exploits de prueba de concepto para los fallos.

N-central es una plataforma de monitoreo y gestión remota (RMM) utilizada por proveedores de servicios gestionados (MSP) y equipos de TI para monitorear, gestionar y asegurar los dispositivos y redes de los clientes de forma remota.

El investigador afirma que las vulnerabilidades fueron probadas contra N-central Appliance 2026.4.0.31, una versión preliminar del software, y cree que la mayoría, si no todas, las fallas también afectan a versiones anteriores.

Las vulnerabilidades reveladas incluyen omisiones de autenticación, divulgación de credenciales, escrituras de archivos arbitrarias, salto de directorio, cross-site scripting (XSS), inyección de entidades externas XML (XXE) y fallos de ejecución remota de código (RCE).

Una de las cadenas de exploits más críticas abusa de una vulnerabilidad XXE no autenticada en la funcionalidad de importación de servicios de N-central para robar una sesión local confiable, restablecer la contraseña de una cuenta y ejecutar comandos en el servidor como el usuario nable.

El mismo exploit también puede crear una cuenta de Administrador Predeterminada habilitada con credenciales controladas por el atacante, proporcionando acceso administrativo malicioso a la interfaz de gestión de N-central.

Bales compartió una demostración en video de este exploit, mostrando la salida de la terminal que informa la creación exitosa de la cuenta de administrador, la autenticación de inicio de sesión, el acceso a la funcionalidad administrativa protegida y la ejecución de comandos remotos como el usuario nable.

Otros exploits revelados incluyen un XSS almacenado que puede ejecutar comandos como root cuando un administrador ve metadatos de parches maliciosos, y un fallo de escalada de privilegios que permite que el código que se ejecuta bajo la cuenta nable ejecute comandos como root.

Bales confirmó que el exploit de XXE a RCE no autenticado era el más crítico de las vulnerabilidades reveladas.

n-able retira servidores en todo el mundo

Tras la revelación, N-able anunció un incidente de seguridad crítico y retiró sus entornos alojados de N-central en las regiones de América, Europa y Asia-Pacífico.

Aunque no se han verificado independientemente todas las vulnerabilidades reportadas, N-able confirmó que está desarrollando un parche urgente para abordar los problemas de seguridad, lo que da credibilidad a las afirmaciones del investigador de que al menos algunos de los fallos son días cero legítimos.

"N-able está respondiendo activamente a la comunicación no responsable de vulnerabilidades críticas en N-central la noche del domingo 8 de noviembre, encontradas por un investigador independiente", dijo N-able.

"Como medida de precaución, retiramos nuestro entorno alojado de N-central hoy, 9 de noviembre, y brindamos orientación a los clientes que operan servidores de N-central locales para que apaguen temporalmente sus servidores hasta nuevo aviso".

"Nuestros equipos de Seguridad, Ingeniería y Operaciones están trabajando activamente para implementar la remediación necesaria. En este momento, no hemos observado una explotación activa de estas vulnerabilidades. Proteger a nuestros clientes y sus entornos sigue siendo nuestra máxima prioridad, y proporcionaremos actualizaciones adicionales a medida que estén disponibles".

En una actualización de estado posterior posterior, N-able dijo que continuaba desarrollando y validando un parche urgente y que no había encontrado evidencia de explotación activa o acceso no autorizado a los datos.

Mientras el entorno clásico de N-central no esté disponible, N-able señaló que los servicios de Ecoverse accedidos a través de N-able Login permanecen operativos.

N-able no ha proporcionado una estimación de cuándo volverá a estar en línea N-central, pero dice que planea publicar actualizaciones cada cuatro horas, o antes si surge nueva información.

El investigador afirma que se ignoraron reportes de vulnerabilidades previos

Bales dijo que liberó deliberadamente las vulnerabilidades de N-central sin notificar a N-able previamente porque la empresa presuntamente no abordó vulnerabilidades que él había reportado anteriormente en un producto diferente de N-able.

Según Bales, reveló dos vulnerabilidades de ejecución remota de código no relacionadas y un fallo de escalada de privilegios hace aproximadamente cinco o seis meses, pero esas vulnerabilidades siguen sin ser parcheadas.

"Revelé 2 RCE no relacionados para un producto diferente de N-able, junto con una vulnerabilidad de escalada de privilegios hace 5 o 6 meses. Estas aún no han sido parcheadas. No revelé ninguno de los 0-days que publiqué anoche", afirmó Bales.

También afirma que él, su gerente y su director enviaron unos cinco correos electrónicos de seguimiento durante las últimas cuatro a seis semanas sin recibir respuesta.

Bales dice que su experiencia previa con el proceso de divulgación de vulnerabilidades de N-able y que "no se toman la divulgación en serio" lo llevó a publicar los exploits de día cero de N-central.

Sin embargo, dijo que estos exploits afectan a un producto de N-able diferente de los que reveló anteriormente.

El investigador también afirmó que no recibió ningún pago a través de la plataforma de recompensas por errores de N-able por sus informes anteriores.

Bales confirmó que los ejecutivos de N-able, incluidos el CEO y el CTO de la empresa, lo contactaron tras la revelación y le pidieron que eliminara el repositorio de GitHub y trabajara con la empresa.

"No me amenazaron ni nada. Solo pidieron retirar el repositorio, trabajar con ellos, etc."

Se preguntó a N-able sobre las alegaciones de Bales referentes a las vulnerabilidades reveladas anteriormente, su estado de parcheo y la presunta falta de respuestas a sus correos electrónicos.

Sin embargo, la empresa no respondió a esas preguntas, proporcionando únicamente la declaración relativa al incidente de seguridad de N-central y el cierre preventivo.

Las vulnerabilidades reportadas anteriormente no están incluidas en el repositorio Able2Shell publicado y presuntamente permanecen sin parchear.


Fuente:
BleepingComputer