N-able desconectó sus entornos alojados de N-central y pidió a sus clientes con instalaciones locales apagar sus servidores, después de que un investigador de seguridad publicó más de 30 presuntas vulnerabilidades zero-day en la plataforma, incluidos exploits que podrían permitir a un atacante tomar el control de los sistemas afectados.
La divulgación la hizo el investigador Sean Bales el domingo 8 de noviembre por la noche. Bales publicó en GitHub el repositorio Able2Shell, con pruebas de concepto, y aseguró haber probado los fallos en N-central Appliance 2026.4.0.31, una versión previa al lanzamiento, por lo que cree que la mayoría —o todos— también afectan a versiones anteriores.
N-central es la plataforma de monitoreo y administración remota (RMM) de N-able, utilizada por proveedores de servicios administrados y equipos de TI para gestionar los sistemas de sus clientes. Entre los fallos reportados hay evasiones de autenticación, divulgación de credenciales, escritura arbitraria de archivos, directory traversal, cross-site scripting (XSS), XML External Entity (XXE) y ejecución remota de código (RCE).
Según Bales, el fallo más crítico es una vulnerabilidad XXE sin autenticación en la importación de servicios, que permitiría robar una sesión local de confianza, restablecer la contraseña de una cuenta y ejecutar comandos como el usuario nable. El mismo fallo también permitiría crear una cuenta Default Administrator habilitada, con credenciales elegidas por el atacante.
Otro de los fallos reportados es un XSS almacenado que podría ejecutar comandos como root cuando un administrador consulta los metadatos maliciosos de un parche, además de una escalada de privilegios del usuario nable a root. Bales publicó también un video con la demostración de los exploits.
El lunes 9 de noviembre, N-able calificó el caso como un incidente crítico de seguridad y confirmó que dejó fuera de línea los entornos alojados de N-central en América, Europa y Asia-Pacífico, mientras desarrolla y valida un hotfix. La empresa indicó que no ha observado explotación activa ni acceso no autorizado a datos, y que publicará actualizaciones cada cuatro horas, o antes si hay novedades. Mientras N-central classic no está disponible, los servicios de Ecoverse a través de N-able Login siguen operativos.
Bales sostuvo que decidió publicar sin avisar a la empresa porque, según él, reportó hace unos cinco o seis meses dos ejecuciones remotas de código y una escalada de privilegios en otro producto de N-able que seguirían sin parche, pese a unos cinco correos de seguimiento en las últimas cuatro a seis semanas y sin recibir pago por el programa de recompensas. Tras la publicación, ejecutivos de N-able, incluidos el CEO y el CTO, lo contactaron y le pidieron retirar el repositorio y trabajar con la empresa, sin amenazarlo, según relató. N-able no abordó esas afirmaciones en su comunicado. BleepingComputer señaló que no verificó de forma independiente todos los fallos, pero que la confirmación de N-able de que desarrolla un hotfix da credibilidad al reporte.
En GeekAndLife también seguimos la actualidad de la ciberseguridad: te contamos sobre la vulnerabilidad *sshole en Linux, que permite acceso SSH sin contraseña y ya está bajo explotación activa, y sobre cómo Kaspersky alertó sobre un ransomware que paraliza redes sin cifrar archivos.
Para más noticias de tecnología, cultura geek, gadgets y entretenimiento, visita: GeekAndLife.com.mx. Descubre más contenido en nuestras redes: Instagram | YouTube | TikTok
Fuente: BleepingComputer — N-able takes cloud platform offline after 30+ «zero-days» published