N-able: Neue Zero-Days umgehen Notfall-Patch

Die Fernwartungsplattform N-central des Anbieters N-able ist erneut von ungepatchten Sicherheitslücken betroffen. Der Sicherheitsforscher Sean Bales hat zwei weitere Sammlungen von Exploit-Code veröffentlicht, die er 4EverAble2Shell und Agent2Shell nennt. Beide funktionieren laut Bales gegen N-central 2026.4 Hotfix 2 (Build 2026.4.1.26). Diese Version hatte N-able erst am 10. November als Notfall-Update veröffentlicht, nachdem Bales zuvor 33 Lücken unter dem Namen Able2Shell offengelegt hatte. Der Hotfix schloss sieben CVEs. Bis zum 11. November hatte N-able nach eigenen Angaben alle gehosteten Server aktualisiert und wieder in Betrieb genommen.

Root-Rechte und Befehle auf Endgeräten

4EverAble2Shell ermöglicht laut dem Forscher Angreifern ohne Anmeldung, Code mit Root-Rechten auf dem N-central-Server auszuführen. Voraussetzung ist, dass die Legacy API aktiviert ist. Agent2Shell umfasst mehr als zehn Schwachstellen in der Kommunikation zwischen dem Server und den Windows-Agenten und Probes, die auf den verwalteten Endgeräten laufen. Zwei der Ketten erlauben Angreifern, die den Server erreichen, ohne Anmeldung Befehle auf verwalteten Windows-Rechnern mit SYSTEM-Rechten auszuführen, sofern sie die Kennung des Servers kennen. Das Sicherheitsunternehmen Huntress bestätigte nach einer ersten Prüfung des Codes die beschriebene Kette zur Ausführung mit Root-Rechten und rät, auch vollständig gepatchte Server als anfällig zu behandeln.

Angriffe wenige Stunden nach Veröffentlichung

Laut dem Sicherheitsunternehmen Previdian begannen Angreifer bereits wenige Stunden nach der Veröffentlichung, gezielt nach anfälligen Servern zu suchen. Auch watchTowr beobachtet Suchanfragen gegen Installationen mit aktivierter Legacy API. Laut BleepingComputer nutzten Angreifer 4EverAble2Shell bereits, um ein Shell-Skript nachzuladen, das den Krypto-Miner XMRig installiert. Mindestens 21 betroffene Systeme wurden demnach festgestellt, 19 davon mit dem aktuellen Hotfix 2. Andere Berichte sprechen bislang nur von Suchanfragen ohne bestätigte erfolgreiche Angriffe.

„Wir schränken bestimmte Funktionen und Integrationen von N-central ein.“
N-able

Das Unternehmen arbeitet an weiteren Korrekturen. Welche Funktionen betroffen sind und wann ein neuer Patch erscheint, ist offen.

Legacy API abschalten

Bis zu einer Korrektur sollten Betreiber die Legacy API deaktivieren, sofern sie nicht zwingend benötigt wird, und den Zugriff auf N-central aus dem Internet einschränken. Zudem sollten sie Server und verwaltete Endgeräte auf ungewöhnliche Skripte, Prozesse wie XMRig und unbekannte Administratorkonten prüfen. N-central ist bei Managed Service Providern verbreitet und hat weitreichenden Zugriff auf die Systeme ihrer Kunden. Bales hatte bereits die erste Serie von Lücken ohne vorherige Abstimmung mit N-able veröffentlicht.

(red)