N-able a déclaré un incident de sécurité critique et mis hors ligne ses environnements hébergés N-central dans le monde entier, après que le chercheur en sécurité Sean Bales a publié, dimanche (8), un dépôt GitHub nommé Able2Shell contenant des preuves de concept de plus de 30 supposées vulnérabilités zero-day dans la plateforme.
N-central est une plateforme de surveillance et de gestion à distance (RMM) utilisée par les fournisseurs de services gérés (MSP) et les équipes informatiques pour surveiller, gérer et protéger à distance les appareils et les réseaux des clients. L'entreprise a également demandé aux clients qui exécutent N-central sur leurs propres serveurs d'éteindre temporairement leurs systèmes jusqu'à nouvel ordre.
Ce qui a été divulgué
Selon BleepingComputer, Bales — qui agit sous le pseudonyme BinaryNinja — a publié des détails, des descriptions techniques, des captures d'écran et du code de preuve de concept tard dimanche (8). La divulgation a été faite via le compte « Oracle-Security » sur GitHub. Le chercheur a affirmé au site que la découverte des failles avait bénéficié de l'aide de l'intelligence artificielle.
Les failles auraient été testées sur N-central Appliance 2026.4.0.31, une version préliminaire du logiciel, et le chercheur estime que la plupart d'entre elles — sinon toutes — affectent aussi les versions antérieures. Les catégories divulguées comprennent le contournement d'authentification, l'exposition d'identifiants, l'écriture arbitraire de fichiers, le directory traversal, le cross-site scripting (XSS), l'injection XML External Entity (XXE) et l'exécution de code à distance (RCE).
La chaîne d'exploitation jugée la plus critique par le chercheur abuse d'une faille XXE non authentifiée dans la fonction d'importation de services de N-central pour voler une session locale de confiance, réinitialiser le mot de passe d'un compte et exécuter des commandes sur le serveur en tant qu'utilisateur nable. Le même exploit peut créer un compte Administrateur par défaut activé, avec des identifiants contrôlés par l'attaquant, donnant un accès administratif à l'interface de gestion. D'autres exploits divulgués comprennent un XSS stocké capable d'exécuter des commandes en tant que root lorsqu'un administrateur consulte des métadonnées de correctif malveillantes, et une faille d'élévation de privilèges permettant au code exécuté en tant que nable d'exécuter des commandes en tant que root.
La réponse de N-able
Après la divulgation, N-able a annoncé l'incident critique et mis hors ligne ses environnements hébergés N-central dans les Amériques, en Europe et en Asie-Pacifique. Dans une déclaration à BleepingComputer, l'entreprise a affirmé qu'elle « répond activement à la communication non responsable de vulnérabilités critiques dans N-central » et que, par mesure de précaution, elle a mis hors ligne l'environnement hébergé le 9 novembre et conseillé aux clients disposant de serveurs locaux de les éteindre temporairement jusqu'à nouvel ordre.
Selon l'entreprise, ses équipes Sécurité, Ingénierie et Opérations travaillent à la remédiation et au développement d'un correctif. Jusqu'à présent, N-able a affirmé n'avoir observé aucune exploitation active des vulnérabilités ni trouvé de preuve d'accès non autorisé aux données. L'entreprise a indiqué qu'elle publierait des mises à jour toutes les quatre heures, ou plus tôt en cas de nouveauté, mais n'a donné aucune estimation de retour du service. Les services Ecoverse accessibles via la connexion N-able restent opérationnels pendant que l'environnement classique de N-central est indisponible.
Pourquoi la divulgation a été publique
Bales a déclaré à BleepingComputer qu'il avait divulgué les failles sans prévenir N-able au préalable parce que, selon lui, l'entreprise n'aurait pas corrigé des vulnérabilités qu'il avait signalées auparavant dans un autre produit N-able. Selon le chercheur, il a signalé deux failles d'exécution de code à distance et une faille d'élévation de privilèges il y a environ cinq ou six mois, et elles resteraient sans correctif. Il a également affirmé avoir envoyé des courriels de suivi au cours des quatre à six dernières semaines sans réponse, et n'avoir reçu aucun paiement via la plateforme de bug bounty de l'entreprise pour ces signalements antérieurs. N-able n'a pas répondu aux questions de BleepingComputer sur ces affirmations.
Le chercheur a également raconté que des dirigeants de N-able, dont le PDG et le directeur technique, l'avaient contacté après la divulgation et lui avaient demandé de supprimer le dépôt GitHub et de travailler avec l'entreprise. Selon lui, il n'y a eu aucune menace — seulement la demande de retrait et de collaboration.
Ce qui n'est pas encore confirmé
Il est important de considérer les failles comme supposées : BleepingComputer affirme ne pas avoir vérifié de manière indépendante toutes les vulnérabilités signalées. Aucun identifiant CVE n'a encore été attribué aux failles, et aucun score de gravité n'a été publié. Ce que N-able a confirmé, c'est l'incident, l'arrêt préventif et le travail sur un correctif — ce qui, selon le site, donne du crédit à l'affirmation du chercheur selon laquelle au moins une partie des failles est légitime.
Les clients de N-central doivent suivre les canaux officiels de N-able et garder leurs serveurs éteints jusqu'à la publication du correctif, comme l'a conseillé l'entreprise.
À lire aussi sur Geekiki : Une faille zero-day sur les commutateurs Zyxel GS1900 a contourné le correctif de juin et touché 996 appareils.
Crédit image : logo de N-able, diffusé par l'entreprise dans un communiqué de presse (via BusinessWire).
Sources
- BleepingComputer — « N-able takes cloud platform offline after 30+ ‘zero-days’ published »
- TechTarget — « N-able takes N-central platform offline after zero-day dump »
Transparence : cet article a été produit avec l'aide de l'intelligence artificielle, en croisant des publications publiques sur X et des sources internet. Les informations ont été vérifiées auprès des sources originales citées ci-dessous — nous vous recommandons de les consulter pour confirmer les détails.
Par Muse
