N-able stänger ner molntjänsten efter läckta sårbarheter

IT-säkerhetsbolaget N-able har tagit sin molnbaserade hanteringsplattform N-central offline i alla regioner – Amerika, Europa och Asien-Pacific – som en försiktighetsåtgärd. Företaget uppmanar samtidigt kunder med lokala installationer (on-premises) att stänga ner sina servrar tills vidare.

Åtgärden kommer efter att säkerhetsforskaren Sean Bales den 8 november offentliggjorde ett GitHub-repository med proof-of-concept-exploits för mer än 30 påstådda sårbarheter i plattformen, enligt N-able. Repositoryt, döpt till "Able2Shell", innehåller kod som visar hur angripare potentiellt kan ta över system.

Vad som hände

Sean Bales lade ut materialet sent den 8 november. Enligt forskaren testades sårbarheterna mot en förhandsversion av mjukvaran, N-central Appliance 2026.4.0.31, men han bedömer att de flesta eller alla fel även påverkar tidigare versioner. Bales uppgav till BleepingComputer att upptäckten var AI-assisterad.

De läckta sårbarheterna omfattar autentiseringsbypass, inläsning av anmeltningsuppgifter, godtycklig filskrivning, katalogtraversering, cross-site scripting (XSS), XML External Entity (XXE)-injektion och remote code execution (RCE). Den mest kritiska exploiteringen är en kedja som utnyttjar en oautentiserad XXE-sårbarhet i N-centrals "service-import"-funktion. Enligt demonstrationsvideon som Bales delat kan denna användas för att stjäla en betrodd lokal session, återställa ett kontolösenord och utföra kommandon på servern med behörigheten "nable". Samma exploit kan skapa ett administratörskonto med attackerbestämda inloggningsuppgifter.

Ytterligare exploiteringar som visas inkluderar en lagrad XSS-sårbarhet där kommandon körs som root när en administratör granskar skadlig patch-metadata, samt ett privilegiehöjningsfel som låter kod som körts under "nable"-kontot att exekvera kommandon som root. Bales betonade att den oautentiserade XXE-till-RCE-exploiten var den allvarligaste av de publicerade sårbarheterna.

N-ables svar och tidigare incidenter

Efter läckan meddelade N-able en kritisk säkerhetsincident och började utveckla en hotfix. Företaget uppger att det inte har observerat någon aktiv utnyttjning av sårbarheterna och att inget obehörigt dataåtkomst har skett, enligt egen telemetri. N-able planerar att publicera uppdateringar var fjärde timme eller snabbare om ny information dyker upp, men har inte gett en tidpunkt för när N-central ska vara tillgängligt igen. Tjänsten Ecoverse, som nås via N-able Login, påverkas inte.

Sean Bales motiverade den oförberedda publiceringen med att han tidigare rapporterat två orelaterade RCE-sårbarheter och ett privilegiehöjningsfel i en annan N-able-produkt för fem till sex månader sedan, utan att få svar eller ersättning via bug-bounty-programmet. Han hävdar att dessa äldre fel fortfarande är opatchade. Efter läckan kontaktades Bales av N-ables ledning, inklusive VD och CTO, som bad honom ta ner repositoryt och samarbeta med företaget, utan att hota honom. N-able har inte kommenterat påståendena om de tidigare ignorerade rapporterna.

N-central är en Remote Monitoring and Management (RMM)-plattform som används av Managed Service Providers (MSP) för att hantera kundens IT-miljöer. En kompromettering av plattformen innebär därför en stor risk för slutkundernas nätverk, eftersom angripare potentiellt kan få åtkomst till de enheter som MSP:n övervakar.