N-able hat einen kritischen Sicherheitsvorfall erklärt und seine gehosteten N-central-Umgebungen weltweit offline genommen, nachdem Sicherheitsforscher Sean Bales am Sonntag (8.) ein GitHub-Repository namens Able2Shell mit Proof-of-Concept-Exploits für mehr als 30 angebliche Zero-Day-Schwachstellen in der Plattform veröffentlicht hatte.
N-central ist eine Remote-Monitoring-and-Management-Plattform (RMM), die von Managed Service Providern (MSPs) und IT-Teams genutzt wird, um Geräte und Netzwerke von Kunden aus der Ferne zu überwachen, zu verwalten und zu schützen. Das Unternehmen forderte außerdem Kunden, die N-central auf eigenen Servern betreiben, auf, ihre Systeme bis auf Weiteres vorübergehend herunterzufahren.
Was offengelegt wurde
Laut BleepingComputer veröffentlichte Bales — der unter dem Pseudonym BinaryNinja arbeitet — spät am Sonntag (8.) Details, technische Beschreibungen, Screenshots und Proof-of-Concept-Code. Die Offenlegung erfolgte über das GitHub-Konto „Oracle-Security“. Der Forscher sagte der Website, dass die Entdeckung der Schwachstellen mithilfe künstlicher Intelligenz erfolgt sei.
Die Schwachstellen sollen gegen N-central Appliance 2026.4.0.31 getestet worden sein, eine Vorabversion der Software, und der Forscher geht davon aus, dass die meisten — wenn nicht alle — auch frühere Versionen betreffen. Zu den offengelegten Kategorien gehören Authentifizierungsumgehung, Offenlegung von Zugangsdaten, willkürliches Schreiben von Dateien, Directory Traversal, Cross-Site Scripting (XSS), XML-External-Entity-Injektion (XXE) und Remote Code Execution (RCE).
Die vom Forscher als kritischste eingestufte Exploit-Kette nutzt eine nicht authentifizierte XXE-Schwachstelle in der Service-Import-Funktion von N-central aus, um eine vertrauenswürdige lokale Sitzung zu stehlen, das Passwort eines Kontos zurückzusetzen und Befehle auf dem Server als Benutzer nable auszuführen. Derselbe Exploit kann ein aktiviertes Standard-Administratorkonto mit vom Angreifer kontrollierten Zugangsdaten erstellen und so betrügerischen Administratorzugriff auf die Verwaltungsoberfläche verschaffen. Weitere offengelegte Exploits umfassen ein gespeichertes XSS, das Befehle als Root ausführen kann, wenn ein Administrator bösartige Patch-Metadaten ansieht, sowie eine Privilegieneskalations-Schwachstelle, die es als nable ausgeführtem Code erlaubt, Befehle als Root auszuführen.
Die Reaktion von N-able
Nach der Offenlegung kündigte N-able den kritischen Vorfall an und nahm seine gehosteten N-central-Umgebungen in Nord- und Südamerika, Europa und im asiatisch-pazifischen Raum offline. In einer Stellungnahme gegenüber BleepingComputer erklärte das Unternehmen, es reagiere „aktiv auf die unverantwortliche Kommunikation kritischer Schwachstellen in N-central“ und habe als Vorsichtsmaßnahme die gehostete Umgebung am 9. November offline genommen und Kunden mit lokalen Servern geraten, diese bis auf Weiteres vorübergehend herunterzufahren.
Dem Unternehmen zufolge arbeiten seine Sicherheits-, Entwicklungs- und Betriebsteams an der Behebung und der Entwicklung eines Hotfixes. Bislang habe N-able nach eigenen Angaben keine aktive Ausnutzung der Schwachstellen beobachtet und keine Hinweise auf unbefugten Datenzugriff gefunden. Das Unternehmen teilte mit, alle vier Stunden Updates zu veröffentlichen — oder früher, falls es Neuigkeiten gibt —, gab aber keine Schätzung ab, wann der Dienst zurückkehrt. Ecoverse-Dienste, die über den N-able-Login zugänglich sind, bleiben betriebsbereit, während die klassische N-central-Umgebung nicht verfügbar ist.
Warum die Offenlegung öffentlich erfolgte
Bales sagte BleepingComputer, er habe die Schwachstellen offengelegt, ohne N-able vorher zu informieren, weil das Unternehmen seiner Aussage nach Schwachstellen, die er zuvor in einem anderen N-able-Produkt gemeldet hatte, nicht behoben habe. Dem Forscher zufolge meldete er vor etwa fünf bis sechs Monaten zwei unabhängige Remote-Code-Execution-Schwachstellen und eine Privilegieneskalations-Schwachstelle, die weiterhin ungepatcht seien. Er habe zudem in den letzten vier bis sechs Wochen Follow-up-E-Mails ohne Antwort gesendet und keine Zahlung über die Bug-Bounty-Plattform des Unternehmens für diese früheren Meldungen erhalten. N-able beantwortete die Fragen von BleepingComputer zu diesen Behauptungen nicht.
Der Forscher berichtete außerdem, dass Führungskräfte von N-able, darunter der CEO und der CTO, ihn nach der Offenlegung kontaktiert und gebeten hätten, das GitHub-Repository zu entfernen und mit dem Unternehmen zusammenzuarbeiten. Ihm zufolge gab es keine Drohungen — nur die Bitte um Entfernung und Zusammenarbeit.
Was noch nicht bestätigt ist
Es ist wichtig, die Schwachstellen als angeblich zu behandeln: BleepingComputer gibt an, nicht alle gemeldeten Schwachstellen unabhängig verifiziert zu haben. Für die Schwachstellen wurden noch keine CVE-Kennungen vergeben, und es wurden keine Schweregrade veröffentlicht. Was N-able bestätigt hat, sind der Vorfall, die vorsorgliche Abschaltung und die Arbeit an einem Hotfix — was der Behauptung des Forschers, dass zumindest ein Teil der Schwachstellen legitim sei, Glaubwürdigkeit verleiht, so die Website.
N-central-Kunden sollten die offiziellen Kanäle von N-able verfolgen und ihre Server bis zur Veröffentlichung des Hotfixes offline lassen, wie das Unternehmen geraten hat.
Auch auf Geekiki lesen: Zero-Day-Schwachstelle in Zyxel-GS1900-Switches umging den Juni-Patch und traf 996 Geräte.
Bildnachweis: N-able-Logo, vom Unternehmen in einer Pressemitteilung veröffentlicht (via BusinessWire).
Quellen
- BleepingComputer — „N-able takes cloud platform offline after 30+ ‘zero-days’ published“
- TechTarget — „N-able takes N-central platform offline after zero-day dump“
Transparenz: Dieser Artikel wurde mithilfe künstlicher Intelligenz erstellt und mit öffentlichen Beiträgen auf X sowie Internetquellen abgeglichen. Die Informationen wurden anhand der unten zitierten Originalquellen geprüft – wir empfehlen, diese zur Bestätigung der Details zu konsultieren.
Von Muse
