N-able heeft zijn hosted N-central-omgevingen tijdelijk offline gehaald nadat beveiligingsonderzoeker Sean Bales publiekelijk meer dan dertig vermeende zero-daykwetsbaarheden in het platform bekendmaakte. Bij de publicatie hoort een GitHub-repository met proof-of-concept-exploits. N-able adviseert klanten die N-central on-premises draaien om hun servers voorlopig eveneens uit te schakelen.
De maatregel raakt een platform dat door managed service providers en interne IT-teams wordt gebruikt voor remote monitoring and management. Daarmee is de potentiële impact groot: RMM-systemen hebben doorgaans brede beheerrechten over klantomgevingen, endpoints en netwerken. Een kwetsbaarheid in zo’n centrale beheerlaag kan daardoor verder reiken dan één server of applicatie.
Hosted omgevingen in meerdere regio’s offline
Volgens de beschikbare informatie heeft N-able zijn hosted N-central-omgevingen in de regio’s Amerika, Europa en Azië-Pacific offline gehaald. Het bedrijf spreekt van een kritisch beveiligingsincident en zegt te werken aan een hotfix. Een exacte planning voor het opnieuw beschikbaar maken van N-central is niet gegeven.
N-able meldt dat het op dit moment geen actieve uitbuiting van de kwetsbaarheden heeft waargenomen. Ook zegt het bedrijf geen aanwijzingen te hebben gevonden voor ongeautoriseerde toegang tot data. De klassieke N-central-omgeving is niet beschikbaar, terwijl Ecoverse-diensten die via N-able Login toegankelijk zijn volgens het bedrijf operationeel blijven.
Het bedrijf heeft aangekondigd updates te publiceren met een interval van vier uur, of eerder wanneer er nieuwe informatie beschikbaar komt. De leverancier zegt dat zijn security-, engineering- en operationele teams werken aan herstelmaatregelen en validatie van de hotfix.
Exploitcode voor kwetsbaarheden in N-central
De publicatie werd gedaan op zondagavond 8 november door beveiligingsonderzoeker Sean Bales. Hij plaatste een repository met de naam Able2Shell, waarin proof-of-concept-exploits voor de gemelde kwetsbaarheden staan. Bales zegt de kwetsbaarheden te hebben getest tegen N-central Appliance 2026.4.0.31, een prereleaseversie van de software. Volgens hem treffen de meeste, zo niet alle, problemen ook eerdere versies. Dat laatste is op basis van de beschikbare informatie niet onafhankelijk bevestigd.
De gemelde kwetsbaarheidstypen omvatten onder meer authenticatiebypasses, het lekken van inloggegevens, arbitraire bestandsschrijfacties, directory traversal, cross-site scripting, XML external entity-injectie en remote code execution. Bales heeft tegenover BleepingComputer bevestigd dat de ontdekking van de kwetsbaarheden met behulp van AI tot stand kwam.
Kritieke keten kan beheer en code-uitvoering opleveren
Een van de ernstigste beschreven exploitketens misbruikt volgens de onderzoeker een niet-geauthenticeerde XXE-kwetsbaarheid in de service-importfunctionaliteit van N-central. Daarmee zou een aanvaller een vertrouwde lokale sessie kunnen stelen, een accountwachtwoord kunnen resetten en opdrachten kunnen uitvoeren op de server als de gebruiker nable.
Dezelfde exploit zou ook een ingeschakeld Default Administrator-account kunnen aanmaken met door de aanvaller gekozen inloggegevens. Daarmee ontstaat volgens de beschrijving ongeautoriseerde beheertoegang tot de N-central-managementinterface. Bales publiceerde daarnaast een videodemonstratie waarin onder meer succesvolle aanmaak van een administratoraccount, authenticatie, toegang tot afgeschermde beheerfuncties en remote command execution als de gebruiker nable te zien zouden zijn.
Andere gemelde exploits omvatten een stored XSS-kwetsbaarheid waarmee opdrachten als root uitgevoerd zouden kunnen worden wanneer een administrator kwaadaardige patchmetadata bekijkt. Ook is er sprake van een privilege-escalatiekwetsbaarheid waarbij code die onder het nable-account draait, opdrachten als root zou kunnen uitvoeren. Bales noemt de niet-geauthenticeerde XXE-naar-RCE-keten de meest kritieke van de gepubliceerde kwetsbaarheden.
Bevestigd nieuws en nog onbevestigde claims
Bevestigd is dat N-able de hosted N-central-omgevingen uit voorzorg offline heeft gehaald, on-premises klanten heeft geadviseerd hun servers tijdelijk uit te schakelen en aan een hotfix werkt. Ook bevestigt het bedrijf dat het gaat om een reactie op de publieke bekendmaking van kritieke kwetsbaarheden in N-central.
Niet alle gemelde kwetsbaarheden zijn onafhankelijk geverifieerd. Wel geeft het feit dat N-able een hotfix ontwikkelt en de hosted dienst offline heeft gehaald gewicht aan de ernst van de melding. De precieze reikwijdte per versie, de praktische uitbuitbaarheid in productieomgevingen en de uiteindelijke patchstatus moeten nog blijken uit verdere updates van N-able.
Conflict over disclosureproces
Bales zegt dat hij de N-central-kwetsbaarheden zonder voorafgaande melding aan N-able heeft gepubliceerd omdat het bedrijf eerdere meldingen over een ander N-able-product volgens hem niet zou hebben opgelost. Hij stelt dat hij vijf tot zes maanden geleden twee niet-gerelateerde RCE-kwetsbaarheden en een privilege-escalatieprobleem had gemeld, en dat die nog niet gepatcht zouden zijn. Ook zegt hij de afgelopen vier tot zes weken opvolgmail te hebben gestuurd zonder reactie.
Volgens Bales namen leidinggevenden van N-able, waaronder de CEO en CTO, na de publicatie contact met hem op met het verzoek de repository te verwijderen en met het bedrijf samen te werken. Hij zegt daarbij niet te zijn bedreigd. N-able heeft de specifieke aantijgingen over eerdere meldingen en de gestelde afhandeling daarvan in de beschikbare reactie niet inhoudelijk beantwoord.
Waarom dit relevant is
Voor MSP’s en organisaties die N-central gebruiken, is vooral de centrale positie van het platform relevant. RMM-software wordt ingezet om systemen op afstand te beheren en heeft daardoor vaak toegang tot grote delen van klantnetwerken. Als een aanvaller via een kwetsbaarheid beheerrechten of code-uitvoering krijgt, kan dat een springplank vormen naar bredere compromittering.
De zaak onderstreept daarnaast een terugkerend spanningsveld in kwetsbaarheidsmelding: publieke exploitpublicatie kan druk zetten op leveranciers, maar vergroot ook direct het risico voor gebruikers zolang patches ontbreken of systemen online staan. In dit geval heeft N-able gekozen voor een tijdelijke uitschakeling van hosted omgevingen en adviseert het on-premises klanten hetzelfde te doen totdat herstelmaatregelen beschikbaar zijn.
Bron: bleepingcomputer.com
