N-able declaró un incidente crítico de seguridad y desconectó sus entornos alojados de N-central en todo el mundo, después de que el investigador de seguridad Sean Bales publicara el domingo (8) un repositorio en GitHub llamado Able2Shell con pruebas de concepto de más de 30 supuestas vulnerabilidades de día cero en la plataforma.
N-central es una plataforma de monitoreo y gestión remota (RMM) utilizada por proveedores de servicios gestionados (MSP) y equipos de TI para supervisar, gestionar y proteger dispositivos y redes de clientes a distancia. La empresa también pidió a los clientes que ejecutan N-central en sus propios servidores que apaguen los sistemas temporalmente hasta nuevo aviso.
Qué se divulgó
Según BleepingComputer, Bales —que actúa bajo el seudónimo BinaryNinja— publicó detalles, descripciones técnicas, capturas de pantalla y código de prueba de concepto a última hora del domingo (8). La divulgación se hizo a través de la cuenta “Oracle-Security” en GitHub. El investigador afirmó al medio que el descubrimiento de las fallas contó con ayuda de la inteligencia artificial.
Las fallas se habrían probado contra N-central Appliance 2026.4.0.31, una versión preliminar del software, y el investigador cree que la mayoría de ellas —si no todas— también afecta a versiones anteriores. Las categorías divulgadas incluyen omisión de autenticación, exposición de credenciales, escritura arbitraria de archivos, directory traversal, cross-site scripting (XSS), inyección de XML External Entity (XXE) y ejecución remota de código (RCE).
La cadena de explotación considerada más crítica por el investigador abusa de una falla XXE sin autenticación en la función de importación de servicios de N-central para robar una sesión local de confianza, restablecer la contraseña de una cuenta y ejecutar comandos en el servidor como el usuario nable. El mismo exploit puede crear una cuenta de Administrador Predeterminado habilitada, con credenciales controladas por el atacante, lo que otorga acceso administrativo a la interfaz de gestión. Otros exploits divulgados incluyen un XSS almacenado capaz de ejecutar comandos como root cuando un administrador visualiza metadatos maliciosos de parches, y una falla de escalada de privilegios que permite que el código ejecutado como nable ejecute comandos como root.
La respuesta de N-able
Tras la divulgación, N-able anunció el incidente crítico y desconectó los entornos alojados de N-central en las Américas, Europa y Asia-Pacífico. En un comunicado a BleepingComputer, la empresa afirmó que está “respondiendo activamente a la comunicación no responsable de vulnerabilidades críticas en N-central” y que, como medida de precaución, desconectó el entorno alojado el 9 de noviembre y recomendó a los clientes con servidores locales apagarlos temporalmente hasta nuevo aviso.
Según la empresa, sus equipos de Seguridad, Ingeniería y Operaciones trabajan en la remediación y en el desarrollo de un hotfix. Hasta el momento, N-able afirmó no haber observado explotación activa de las vulnerabilidades ni haber encontrado evidencia de acceso no autorizado a datos. La empresa informó que publicará actualizaciones cada cuatro horas, o antes si hay novedades, pero no dio una previsión de retorno del servicio. Los servicios de Ecoverse a los que se accede con el inicio de sesión de N-able siguen operativos mientras el entorno clásico de N-central está indisponible.
Por qué la divulgación fue pública
Bales afirmó a BleepingComputer que divulgó las fallas sin avisar antes a N-able porque, según él, la empresa no habría corregido vulnerabilidades que reportó anteriormente en otro producto de N-able. Según el investigador, comunicó dos fallas de ejecución remota de código y una de escalada de privilegios hace unos cinco o seis meses, y seguirían sin parche. También afirmó haber enviado correos de seguimiento en las últimas cuatro a seis semanas sin respuesta, y no haber recibido pago a través de la plataforma de bug bounty de la empresa por esos reportes anteriores. N-able no respondió a las preguntas de BleepingComputer sobre esas afirmaciones.
El investigador también contó que ejecutivos de N-able, incluidos el CEO y el CTO, se pusieron en contacto tras la divulgación y le pidieron que eliminara el repositorio de GitHub y trabajara con la empresa. Según él, no hubo amenazas, solo la petición de retirarlo y colaborar.
Qué aún no está confirmado
Es importante tratar las fallas como supuestas: BleepingComputer afirma no haber verificado de forma independiente todas las vulnerabilidades reportadas. Aún no se han asignado identificadores CVE a las fallas ni se han publicado puntuaciones de severidad. Lo que N-able ha confirmado es el incidente, el apagado preventivo y el trabajo en un hotfix, lo que da credibilidad a la afirmación del investigador de que al menos parte de las fallas es legítima, según el propio medio.
Los clientes de N-central deben seguir los canales oficiales de N-able y mantener sus servidores apagados hasta la publicación del hotfix, según la orientación de la empresa.
Lee también en Geekiki: Una falla zero-day en switches Zyxel GS1900 burló el parche de junio y afectó a 996 equipos.
Crédito de la imagen: logotipo de N-able, divulgado por la empresa en un comunicado de prensa (vía BusinessWire).
Fuentes
- BleepingComputer — “N-able takes cloud platform offline after 30+ ‘zero-days’ published”
- TechTarget — “N-able takes N-central platform offline after zero-day dump”
Transparencia: este artículo fue producido con ayuda de inteligencia artificial, contrastado con publicaciones públicas en X y fuentes de internet. La información se verificó en las fuentes originales citadas a continuación; recomendamos consultarlas para confirmar los detalles.
Por Muse
