N-able desconecta N-central por más de 30 fallos

N-able ha desconectado su versión en la nube de N-central en América, Europa y Asia-Pacífico. Además, pide a quienes lo tienen instalado en sus propios servidores que los apaguen temporalmente. El motivo es que un investigador ha publicado más de 30 vulnerabilidades sin corregir, con exploits listos para usar.

N-central es una plataforma de monitorización y gestión remota (RMM) que usan los proveedores de servicios gestionados y los equipos de TI para administrar a distancia los equipos y las redes de sus clientes. Por eso es un objetivo tan jugoso: quien se haga con el servidor tiene a mano todo lo que gestiona.

Qué se ha publicado

El investigador Sean Bales divulgó los fallos la noche del domingo 8 de noviembre en un repositorio de GitHub llamado Able2Shell, con pruebas de concepto. Según BleepingComputer, los probó en N-central Appliance 2026.4.0.31, una versión previa al lanzamiento, y cree que la mayoría, si no todos, afectan también a versiones anteriores.

Hay omisiones de autenticación, filtrado de credenciales, escritura arbitraria de archivos, recorrido de directorios, XSS, inyección XXE y ejecución remota de código. Lo más grave es una cadena que arranca en un fallo XXE sin autenticación en la importación de servicios. Con ella se puede ejecutar comandos en el servidor como el usuario nable y crear una cuenta de administrador con credenciales del atacante. Otro exploit usa un XSS almacenado para ejecutar comandos como root cuando un administrador consulta metadatos de parches manipulados.

BleepingComputer no ha verificado todos los fallos. Que N-able esté preparando un parche urgente indica que al menos parte son reales.

Qué dice N-able y qué hacer

La compañía asegura que no ha detectado explotación activa ni acceso no autorizado a datos. Tampoco da fecha para recuperar el servicio y promete actualizaciones cada cuatro horas. Los servicios de Ecoverse a los que se accede con N-able Login siguen funcionando.

Si se gestiona un N-central propio, la indicación del fabricante es desconectarlo hasta nuevo aviso y esperar el parche.

Por qué no avisó antes

Bales explica que publicó sin avisar a propósito. Asegura que hace cinco o seis meses comunicó a N-able dos fallos de ejecución remota y uno de escalada de privilegios en otro producto, y que siguen sin corregirse. Añade que unos cinco correos de seguimiento quedaron sin respuesta y que no cobró nada del programa de recompensas. N-able califica la divulgación de «no responsable», pero no ha respondido a esas acusaciones. Según el investigador, tras la publicación el consejero delegado y el director técnico le pidieron retirar el repositorio, aunque sin amenazarle.

Fuente: BleepingComputer