Divulgación de múltiples vulnerabilidades de día cero en N-able y N-central

Los investigadores de seguridad han revelado públicamente más de 30 presuntas vulnerabilidades de día cero que afectan a N-able N-central, una plataforma de supervisión y gestión remota (RMM) muy utilizada.

Tras la revelación, N-able desconectó sus entornos N-central alojados en la nube en todo el mundo y aconsejó a los clientes que utilizan implementaciones locales que apagaran sus servidores como medida de precaución.

Las vulnerabilidades fueron publicadas por el investigador de seguridad Sean Bales, junto con código de explotación de prueba de concepto (PoC), bajo el nombre del proyecto Able2Shell. Los problemas incluyen eludir la autenticación, la divulgación de credenciales, la escritura arbitraria de archivos, el recorrido de directorios, el cross-site scripting (XSS), la inyección de entidades externas XML (XXE), la escalada de privilegios y la ejecución remota de código (RCE).

Especialmente preocupante resulta una vulnerabilidad XXE sin autenticación que, según se informa, puede encadenarse con otras debilidades para robar sesiones de confianza, restablecer contraseñas de cuentas, crear cuentas administrativas y ejecutar comandos en los servidores de N-central afectados. Los investigadores también informaron de cadenas de explotación capaces de lograr la ejecución de código a nivel de root. Un servidor de N-central comprometido también podría permitir a los atacantes ejecutar comandos, desplegar scripts maliciosos u obtener acceso no autorizado a los terminales y entornos de los clientes gestionados a través de la plataforma RMM.

En el momento de redactar este artículo, N-able ha declarado que no ha observado indicios de explotación activa en los entornos de los clientes y que está desarrollando y probando activamente parches para solucionar las vulnerabilidades reveladas. Sin embargo, el código de explotación sigue estando disponible públicamente.

Para las organizaciones que utilizan N-able N-central, se recomiendan las siguientes medidas inmediatas a los clientes:

• Identificar todas las implementaciones de N-central, tanto alojadas como locales, dentro del entorno.
• Sigan las recomendaciones de N-able para el apagado de los servidores de N-central locales y manténganlos desconectados hasta que N-able confirme que pueden volver a conectarse de forma segura.
• Seguir las últimas directrices de N-able recogidas en el aviso oficial sobre el incidente (véase «Referencias») en lo que respecta a la disponibilidad de parches, las instrucciones de corrección y el restablecimiento seguro del servicio.
• Revisar los registros de autenticación para detectar la creación de cuentas de administrador inesperadas y los registros del servidor para detectar indicios de explotación de XXE, actividad de escritura arbitraria de archivos o escalada de privilegios.
• Investigue cualquier indicio de ejecución de comandos sospechosos procedentes de los servidores N-central y revise las actividades sospechosas de gestión remota y las implementaciones inesperadas de scripts que afecten a los terminales gestionados y a los entornos de los clientes.
• Supervise las comunicaciones de red salientes desde la infraestructura de N-central en busca de actividades anómalas.

Posibles indicadores de actividad sospechosa y oportunidades para la detección proactiva de amenazas

Se recomienda a los clientes que revisen los siguientes comportamientos sospechosos en su entorno N-central y en la infraestructura de apoyo. Se trata de oportunidades para la detección proactiva de amenazas, no de indicadores confirmados de compromiso:

• Creación o reactivación inesperadas de cuentas de administrador.

• Restablecimientos de contraseña no asociados a una actividad administrativa autorizada

• Ejecución de comandos del sistema operativo bajo la cuenta de servicio nable.

• Actividad de escalada de privilegios que dé lugar a la ejecución de comandos a nivel de root.

• Solicitudes inusuales basadas en XML dirigidas a la funcionalidad de importación de servicios de N-central.

• Cambios de configuración no autorizados en la interfaz de gestión de N-central.

Si su organización se ha visto expuesta a estas vulnerabilidades de N-able N-central que se han dado a conocer, póngase en contacto con el equipo de respuesta a incidentes de Integrity360 para obtener ayuda.