A N-able tirou do ar seus ambientes hospedados do N-central e pediu que clientes com instalações locais desligassem os servidores. A medida foi anunciada após o pesquisador de segurança Sean Bales divulgar publicamente mais de 30 supostas vulnerabilidades zero-day, incluindo exploits que poderiam permitir que invasores assumissem o controle de sistemas vulneráveis.
Bales divulgou as falhas no fim da noite de domingo, 8 de novembro, e publicou no GitHub um repositório chamado Able2Shell, com provas de conceito dos exploits.
O N-central é uma plataforma de monitoramento e gerenciamento remoto usada por provedores de serviços gerenciados (MSPs) e equipes de TI para monitorar, administrar e proteger dispositivos e redes de clientes à distância.
O pesquisador afirma que testou as vulnerabilidades no N-central Appliance 2026.4.0.31, uma versão de pré-lançamento do programa. Ele acredita que a maioria, se não todas, também afeta versões anteriores.
As vulnerabilidades divulgadas incluem formas de contornar a autenticação, exposição de credenciais, gravação arbitrária de arquivos, travessia de diretórios, XSS, injeção de entidades externas XML (XXE) e execução remota de código (RCE).
Uma das cadeias de exploits mais graves aproveita uma vulnerabilidade XXE sem autenticação no recurso de importação de serviços do N-central. A falha permite roubar uma sessão local confiável, redefinir a senha de uma conta e executar comandos no servidor como o usuário nable.
O mesmo exploit também pode criar uma conta padrão habilitada com privilégios de administrador e credenciais controladas pelo invasor. Isso permite obter acesso administrativo indevido à interface de gerenciamento do N-central.
Bales compartilhou um vídeo demonstrando o exploit. A gravação mostra o terminal indicando a criação bem-sucedida de uma conta de administrador, a autenticação no sistema, o acesso a funções administrativas protegidas e a execução remota de comandos como o usuário nable.
Entre os outros exploits divulgados estão uma falha de XSS armazenado, capaz de executar comandos como root quando um administrador visualiza metadados maliciosos de patches, e uma vulnerabilidade de escalonamento de privilégios que permite a um código executado na conta nable rodar comandos como root.
Segundo o BleepingComputer, Bales confirmou que o exploit que combina XXE sem autenticação e RCE é o mais grave entre os divulgados.
Após a divulgação, a N-able anunciou um incidente crítico de segurança e tirou do ar seus ambientes hospedados do N-central nas Américas, na Europa e na região da Ásia-Pacífico.
O BleepingComputer informou que não verificou de forma independente todas as vulnerabilidades relatadas. No entanto, a N-able confirmou que está desenvolvendo uma correção emergencial para resolver os problemas de segurança, o que dá credibilidade à afirmação do pesquisador de que ao menos algumas das falhas são vulnerabilidades zero-day legítimas.
Em declaração ao BleepingComputer, a N-able afirmou: “A N-able está respondendo ativamente à divulgação não responsável de vulnerabilidades críticas no N-central, feita por um pesquisador independente no fim da noite de domingo, 8 de novembro”.
A empresa acrescentou: “Como medida de precaução, tiramos do ar hoje, 9 de novembro, nosso ambiente hospedado do N-central e orientamos os clientes que operam servidores locais do produto a desligá-los temporariamente, até novo aviso”.
“Nossas equipes de Segurança, Engenharia e Operações estão trabalhando ativamente para implementar as medidas corretivas necessárias. Até o momento, não identificamos exploração ativa dessas vulnerabilidades. Proteger nossos clientes e seus ambientes continua sendo nossa maior prioridade. Publicaremos novas informações assim que estiverem disponíveis.”
Em uma atualização posterior, a N-able afirmou que continuava desenvolvendo e validando uma correção emergencial e que não havia encontrado indícios de exploração ativa ou acesso não autorizado a dados.
Enquanto o ambiente clássico do N-central está indisponível, os serviços Ecoverse acessados pelo N-able Login continuam funcionando, informou a empresa.
A N-able não estimou quando o N-central voltará a operar, mas disse que pretende publicar atualizações a cada quatro horas, ou antes, caso surjam novas informações.
Segundo o BleepingComputer, Bales afirmou que decidiu divulgar as vulnerabilidades do N-central sem avisar a N-able com antecedência porque, segundo ele, a empresa não teria corrigido vulnerabilidades que ele havia relatado anteriormente em outro produto da companhia.
De acordo com o pesquisador, ele comunicou duas vulnerabilidades distintas de RCE e uma falha de escalonamento de privilégios cerca de cinco ou seis meses atrás, mas elas ainda não receberam patches.
“Divulguei duas RCEs sem relação entre si em outro produto da N-able, além de uma vulnerabilidade de escalonamento de privilégios, cinco ou seis meses atrás. Elas ainda não receberam patches. Não divulguei nenhuma das vulnerabilidades zero-day que publiquei ontem à noite”, afirmou Bales ao BleepingComputer.
Ele também alega que ele, seu gerente e seu diretor enviaram cerca de cinco e-mails de acompanhamento nas últimas quatro a seis semanas, sem receber resposta.
Bales afirma que sua experiência anterior com o processo de divulgação de vulnerabilidades da N-able e a percepção de que “eles não levam a divulgação a sério” o levaram a publicar os exploits zero-day do N-central.
O pesquisador ressaltou, porém, que esses exploits afetam um produto diferente da N-able daquele relacionado às vulnerabilidades que ele havia divulgado anteriormente.
Bales também afirmou que não recebeu pagamento pela plataforma de bug bounty da N-able por seus relatos anteriores.
Segundo o BleepingComputer, Bales confirmou que executivos da N-able, incluindo o CEO e o CTO da empresa, entraram em contato com ele após a divulgação e pediram que removesse o repositório do GitHub e colaborasse com a companhia.
“Eles não me ameaçaram nem nada do tipo. Apenas pediram que eu removesse o repositório, trabalhasse com eles e assim por diante.”
O BleepingComputer informou que questionou a N-able sobre as alegações de Bales a respeito das vulnerabilidades divulgadas anteriormente, do status dos patches e da suposta falta de resposta aos e-mails de acompanhamento.
Segundo o veículo, a empresa não respondeu a essas perguntas. Limitou-se a comentar o incidente de segurança no N-central e o desligamento preventivo dos ambientes.
As vulnerabilidades relatadas anteriormente não estão incluídas no repositório público Able2Shell e, segundo Bales, continuam sem patch.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...