N-able nimmt N-central nach Veröffentlichung von über 30 mutmaßlichen Zero-Days vom Netz

Bales machte die Lücken in der Nacht zum Montag öffentlich, am späten Sonntagabend des 8. November, und stellte auf GitHub ein Repository namens Able2Shell mit Proof-of-Concept-Exploits bereit. Getestet hat er nach eigenen Angaben gegen N-central Appliance 2026.4.0.31, eine Vorabversion der Software. Er geht davon aus, dass die meisten, wenn nicht alle Schwachstellen auch ältere Versionen betreffen. Bei der Suche nach den Lücken kam nach seiner Bestätigung KI-Unterstützung zum Einsatz.

Zu den veröffentlichten Schwachstellen zählen:

• Umgehung der Authentifizierung
• Preisgabe von Zugangsdaten
• Schreiben beliebiger Dateien
• Directory Traversal
• Cross-Site Scripting (XSS)
• XML-External-Entity-Injection (XXE)
• Ausführung von Schadcode aus der Ferne (RCE)

Als gravierendste Lücke bezeichnete Bales eine Exploit-Kette, die ohne Anmeldung eine XXE-Schwachstelle in der Importfunktion für Dienste ausnutzt. Darüber lässt sich eine vertrauenswürdige lokale Sitzung stehlen, ein Kontopasswort zurücksetzen und anschließend Befehle als Benutzer nable auf dem Server ausführen. Derselbe Exploit kann zudem ein aktiviertes Konto „Default Administrator“ mit vom Angreifer gewählten Zugangsdaten anlegen und so administrativen Zugriff auf die Verwaltungsoberfläche von N-central verschaffen. In einem Demonstrationsvideo zeigt Bales Terminalausgaben, die das erfolgreiche Anlegen des Administratorkontos, die Anmeldung, den Zugriff auf geschützte Verwaltungsfunktionen und die Befehlsausführung als nable dokumentieren.

Weitere Exploits betreffen eine gespeicherte XSS-Lücke, über die Befehle mit Root-Rechten ausgeführt werden, sobald ein Administrator manipulierte Patch-Metadaten aufruft, sowie eine Rechteausweitung, mit der unter dem Konto nable laufender Code Befehle als root ausführen kann.

N-able rief einen kritischen Sicherheitsvorfall aus und nahm die gehosteten N-central-Umgebungen in den Regionen Amerika, Europa und Asien-Pazifik offline. Nicht alle gemeldeten Lücken sind unabhängig überprüft, doch der Hersteller bestätigte, an einem Hotfix zu arbeiten – ein Hinweis darauf, dass zumindest ein Teil der Schwachstellen echt ist. N-able erklärte, man reagiere auf die „nicht verantwortungsvolle Mitteilung kritischer Schwachstellen in N-central“ durch einen unabhängigen Forscher. Als Vorsichtsmaßnahme sei die gehostete Umgebung am 9. November abgeschaltet worden; Betreiber lokaler Server habe man angewiesen, diese bis auf Weiteres vorübergehend vom Netz zu nehmen. Die Sicherheits-, Entwicklungs- und Betriebsteams arbeiteten an der Behebung; eine aktive Ausnutzung sei bislang nicht beobachtet worden. In einer späteren Statusmeldung teilte das Unternehmen mit, der Hotfix werde weiter entwickelt und geprüft, Hinweise auf Ausnutzung oder unbefugten Datenzugriff gebe es nicht.

Während die klassische N-central-Umgebung nicht verfügbar ist, bleiben die über N-able Login erreichbaren Ecoverse-Dienste in Betrieb. Einen Zeitpunkt für die Wiederinbetriebnahme nannte N-able nicht, will aber alle vier Stunden oder bei neuen Erkenntnissen früher informieren.

Bales sagte, er habe die Lücken bewusst ohne vorherige Benachrichtigung des Herstellers veröffentlicht. Vor etwa fünf bis sechs Monaten habe er N-able zwei RCE-Lücken und eine Rechteausweitung in einem anderen Produkt des Unternehmens gemeldet, die bis heute nicht behoben seien. „Keine der Zero-Days, die ich letzte Nacht veröffentlicht habe, hatte ich zuvor gemeldet“, so Bales. Auf Nachfragen per E-Mail in den vergangenen vier bis sechs Wochen habe er keine Antwort erhalten, über die Bug-Bounty-Plattform des Herstellers sei für die früheren Meldungen keine Zahlung erfolgt. N-able nehme Meldungen von Schwachstellen nicht ernst, begründete er seinen Schritt. Die damals gemeldeten Lücken sind nicht Teil des Able2Shell-Repositorys und sollen weiterhin ungepatcht sein.

Nach der Veröffentlichung meldeten sich laut Bales Führungskräfte von N-able, darunter CEO und CTO, und baten ihn, das Repository zu entfernen und mit dem Unternehmen zusammenzuarbeiten. „Gedroht haben sie mir aber nicht“, sagte er. Zu den Vorwürfen um die früheren Meldungen, deren Patch-Status und die ausgebliebenen Antworten äußerte sich N-able nicht und verwies lediglich auf seine Stellungnahme zum Sicherheitsvorfall und zur vorsorglichen Abschaltung.