Brato
VIP
Beta
Programador
Verificado
Verificación en dos pasos activada
Usuário com poucas negociações! Use sempre o saldo do ForoBeta!
Suscripción a IA
🚨 ALERTA CRÍTICO: 30+ zero-days no N-able N-central (RMM) — plataforma desligada no mundo todo
PoC públicas no GitHub, sem correção disponível e a N-able pede para desligar os servidores on-premise.
PoC públicas no GitHub, sem correção disponível e a N-able pede para desligar os servidores on-premise.
⚠️ Se você usa N-central, leia isto antes de seguir com o seu dia.
O pesquisador Sean Bales publicou no domingo, 8 de novembro, à noite mais de 30 vulnerabilidades no N-central, a plataforma RMM da N-able, junto com provas de conceito em um repositório do GitHub chamado Able2Shell.
A N-able desligou seu ambiente hospedado nas Américas, na Europa e na Ásia-Pacífico e pediu aos clientes com N-central on-premise que DESLIGUEM SEUS SERVIDORES até novo aviso. Não há correção: estão desenvolvendo um hotfix sem data confirmada.
🔗 A cadeia de exploração mais grave
Segundo as informações publicadas, a cadeia de ataque mais crítica funciona assim:
- 1. XXE não autenticado na importação de serviços.
- 2. Roubo de uma sessão local confiável.
- 3. Redefinição da senha de uma conta.
- 4. Execução de comandos como o usuário "nable".
- 5. Criação de uma conta "Default Administrator" ativada com credenciais do atacante.
Também há um XSS armazenado que é executado como root quando um administrador abre metadados de correção maliciosos.
💀 Por que isso é tão grave
Um RMM é a chave de todos os clientes de um MSP. Com uma conta de administrador no N-central, herda-se o parque inteiro: servidores, backups, credenciais e a capacidade de enviar software para todos de uma vez.
E há PoC públicas de uma cadeia que cria essa conta. Ou seja: o material para reproduzir o ataque está disponível para qualquer um que saiba ler um repositório do GitHub.
Atenção: a N-able diz que "não observou exploração ativa". É uma afirmação do fabricante, não verificada de forma independente. Trate-a como o que é: uma declaração, não um fato confirmado.
✅ Verificações que você deveria fazer HOJE se usa N-central
- 1. On-premise: desligar o servidor. Hospedado: já foi desligado pela N-able.
- 2. Procurar contas de administrador criadas recentemente, principalmente uma chamada "Default Administrator".
- 3. Trocar as credenciais: conta "nable", todas as de administrador e as chaves de API.
- 4. Revisar os registros de importação de serviços (é o ponto de entrada da cadeia XXE).
- 5. Verificar a atividade nos equipamentos gerenciados: comandos executados, instalações de software, tarefas novas.
- 6. Plano B: enquanto o RMM está fora do ar, como atender os clientes? Convém ter isso definido antes que chegue a primeira urgência.
💬 E você, o que acha?
Vocês usam N-central ou algum outro RMM nos seus projetos? Como estão lidando com a queda junto aos seus clientes? Vocês acham que esse tipo de incidente demonstra que o modelo de "um RMM controla tudo" é frágil demais?
Tenho interesse em ler experiências reais de quem está lidando com isso agora mesmo, principalmente MSPs e sysadmins com clientes em produção.
🤝 Precisa de uma mão com a resposta ao incidente?
Se você gerencia o N-central na sua empresa ou na dos seus clientes e precisa de ajuda para auditar o que aconteceu, revisar acessos, trocar credenciais ou montar um plano de contingência enquanto o RMM está fora do ar, posso te dar uma mão.
Trabalho com infraestrutura, servidores e automação, e posso te ajudar a revisar a exposição, reforçar os demais acessos e deixar um plano claro para os próximos dias.
Se tiver interesse, me escreva no privado e conversamos sem compromisso. Tenho um preço solidário para os colegas do fórum. E se você só tiver dúvidas sobre o incidente, pergunte por aqui que eu respondo. É para isso que serve a comunidade! 🙌
