N-able suspende temporalmente el servicio de acceso remoto tras la divulgación de múltiples vulnerabilidades de día cero

Image: TechCrunch · Source

N-able retiró su servicio de acceso remoto N-Central tras la publicación de numerosas explotaciones de día cero que podrían permitir a atacantes obtener acceso root y crear cuentas administrativas, instando también a los clientes con instalaciones autohospedadas a desactivar sus sistemas.

N-able, un proveedor líder en tecnología de acceso remoto, ha puesto fuera de línea su servicio N-Central alojado en la nube para abordar un incidente crítico de seguridad que involucra decenas de vulnerabilidades de día cero divulgadas públicamente en noviembre. La compañía también aconsejó a los clientes con implementaciones autohospedadas de N-Central que desactivaran sus instancias como precaución contra posibles ciberataques que exploten las fallas divulgadas.

Las vulnerabilidades fueron reveladas en una divulgación exhaustiva por el investigador de seguridad Ben Bales en GitHub y plataformas de redes sociales. Bales describió el conjunto de fallos como "Able2Shell," destacando su capacidad para robar credenciales, crear cuentas administrativas no autorizadas y obtener control a nivel root sobre sistemas afectados de N-able. Los exploits combinan diversas debilidades tales como procesamiento XML External Entity (XXE) sin autenticación, confusión de sesiones, saltos de autenticación y técnicas de inyección de código.

Cabe destacar que estas fallas afectan la versión previa al lanzamiento "N-able N-central Appliance 2026.4.0.31" pero se confirma que funcionan en versiones anteriores, incluyendo las últimas versiones de producción, lo que sugiere una vulnerabilidad generalizada en toda la línea de productos. La extensa lista de problemas de seguridad incluye terminación anónima de sesiones de control remoto, modificación no autorizada de configuraciones, escrituras arbitrarias de archivos que conducen a ejecución remota de código y divulgación de credenciales que afectan al ecosistema N-Central.

N-able confirmó en una actualización pública de estado que durante el periodo de remediación, los clientes no podrán acceder al servicio N-Central, que es crucial para la supervisión y gestión remota de dispositivos en red. La compañía declaró que actualmente no tiene evidencia que indique explotación en entornos de clientes, pero no aclaró si posee mecanismos como registros de servidor para verificarlo de manera concluyente.

El incidente subraya los riesgos que enfrentan las soluciones de acceso remoto, que son objetivos atractivos para actores malintencionados debido al amplio control de red que proporcionan en caso de compromiso. Según reportes, Bales publicó los exploits tras presuntas demoras de N-able para parchear vulnerabilidades reportadas previamente en otro de sus productos.

La investigación divulgada incluye exploits detallados como prueba de concepto que demuestran cómo los atacantes podrían encadenar múltiples vulnerabilidades para el control total del sistema. Por ejemplo, un atacante anónimo podría inyectar XML malicioso para secuestrar tokens de sesión, escribir archivos JSP ejecutables en los directorios del servidor web del sistema y escalar privilegios a root.

Se insta encarecidamente a los clientes a seguir las recomendaciones de N-able de deshabilitar servicios y esperar soluciones oficiales. La compañía está trabajando activamente para asegurar los entornos afectados e implementar medidas de remediación apropiadas. Dada la gravedad y alcance de estas vulnerabilidades, los observadores de la industria esperan que N-able libere parches críticos de seguridad pronto para restaurar el servicio de forma segura y prevenir posibles explotaciones.

Este evento destaca los desafíos continuos para empresas que dependen de plataformas de gestión remota y la importancia de una gestión vigilante de vulnerabilidades y aplicación oportuna de parches para proteger infraestructuras críticas de red.