N-able отключила облачную N-central после публикации более 30 уязвимостей
Компания N-able отключила размещённые среды платформы удалённого управления N-central в Америке, Европе и Азиатско-Тихоокеанском регионе и попросила клиентов с локальными серверами временно остановить их. Поводом стала публикация исследователем Шоном Бейлсом более 30 предполагаемых уязвимостей нулевого дня и репозитория Able2Shell с готовыми эксплойтами.
Главное в цифрах
- Количество предполагаемых уязвимостей: более 30
- Тестируемая версия: N-central Appliance 2026.4.0.31 (предрелизная)
- Дата публикации: вечер воскресенья, 8 ноября
- Дата отключения размещённых сред: 9 ноября
Исследователь безопасности Шон Бейлс опубликовал уязвимости поздно вечером в воскресенье, 8 ноября, и выложил на GitHub репозиторий Able2Shell с эксплойтами для проверки. Среди уязвимостей есть обход аутентификации, раскрытие учётных данных, произвольная запись файлов, обход каталогов, XSS, XXE-инъекции и удалённое выполнение кода.
Самая опасная цепочка использует XXE-уязвимость в функции импорта сервисов N-central, не требующую аутентификации. Она позволяет украсть доверенную локальную сессию, сбросить пароль учётной записи и выполнить команды на сервере от имени пользователя nable. Тот же эксплойт может создать включённую учётную запись Default Administrator с учётными данными, которые задаёт атакующий. Бейлс подтвердил BleepingComputer, что именно эта цепочка самая критичная из раскрытых.
Тестирование проводилось на версии 2026.4.0.31, которая является предрелизной. Исследователь считает, что большинство уязвимостей, если не все, затрагивают и более ранние версии.
Реакция N-able
N-able сообщила о критическом инциденте безопасности. 9 ноября компания отключила размещённую среду N-central и посоветовала клиентам с локальными серверами временно выключить их до дальнейших уведомлений. По словам компании, на данный момент не зафиксировано активной эксплуатации уязвимостей.
В более позднем обновлении N-able сообщила, что продолжает разрабатывать и проверять хотфикс и не нашла признаков эксплуатации или несанкционированного доступа к данным. Сервисы Ecoverse, доступ к которым идёт через N-able Login, остаются работоспособны. Срок возвращения N-central компания не назвала, обещая публиковать обновления каждые четыре часа.
Конфликт с исследователем
Бейлс заявил, что опубликовал эксплойты без предупреждения N-able, потому что компания не устранила уязвимости, о которых он сообщал ранее в другом своём продукте. По его словам, пять или шесть месяцев назад он сообщил о двух не связанных между собой RCE и одной уязвимости повышения привилегий, но исправлений пока нет. Он также утверждает, что за последние четыре-шесть недель отправил около пяти писем без ответа и не получил выплат через программу bug bounty.
После публикации руководители N-able, включая CEO и CTO, связались с исследователем и попросили удалить репозиторий и начать совместную работу. Бейлс сообщил, что ему не угрожали. N-able не ответила на вопросы о более ранних уязвимостях и статусе их исправления.
