N-able nimmt N-central nach Veröffentlichung von mehr als 30 Zero-Day-Schwachstellen offline
N-able hat am 9. November seine gehosteten N-central-Umgebungen in Amerika, Europa und der Region Asien-Pazifik offline genommen. Das Unternehmen forderte Kunden mit lokalen N-central-Servern zugleich auf, diese bis auf Weiteres abzuschalten. Auslöser war die Veröffentlichung von mehr als 30 mutmaßlichen Zero-Day-Schwachstellen durch den Sicherheitsforscher Sean Bales.
Bales veröffentlichte am 8. November das GitHub-Repository Able2Shell mit Proof-of-Concept-Exploits. Nach seinen Angaben wurden die Schwachstellen gegen N-central Appliance 2026.4.0.31 getestet, eine Vorabversion. Er hält es für möglich, dass die meisten oder alle Fehler auch frühere Versionen betreffen.
Die gemeldeten Fehler umfassen unter anderem Umgehungen der Authentifizierung, die Offenlegung von Zugangsdaten, beliebige Dateischreibvorgänge, Verzeichnis-Traversal, XSS, XXE-Injection und Remote Code Execution. Laut Bales ist eine nicht authentifizierte XXE-Schwachstelle in der Service-Import-Funktion besonders kritisch. Ein darauf aufbauender Angriff kann demnach eine lokale Sitzung stehlen, ein Kontopasswort zurücksetzen und Befehle als Benutzer nable ausführen. Der Exploit kann außerdem ein aktiviertes Administratorkonto mit vom Angreifer gewählten Zugangsdaten anlegen.
N-able teilte BleepingComputer mit, dass das Unternehmen einen Hotfix entwickelt und validiert. Der Anbieter sagte außerdem, dass bisher keine aktive Ausnutzung und kein unbefugter Datenzugriff festgestellt worden seien. BleepingComputer konnte allerdings nicht alle gemeldeten Schwachstellen unabhängig verifizieren; N-ables Hotfix-Plan bestätigt nach Darstellung der Quelle, dass zumindest einige der Fehler tatsächlich als Zero-Days einzustufen sind.
Betreiber sollten deshalb die von N-able verlangte Abschaltung lokaler N-central-Server umsetzen und auf den Hotfix sowie weitere Statusmeldungen warten. Die klassische N-central-Umgebung bleibt laut N-able zunächst nicht verfügbar. Ecoverse-Dienste, die über N-able Login erreichbar sind, sollen währenddessen weiterlaufen; einen Termin für die Wiederinbetriebnahme von N-central nannte der Anbieter nicht.