N-able lanza la cuarta corrección de emergencia de N-central en cinco semanas para solucionar una vulnerabilidad de ejecución remota de código (RCE) sin autenticación

N-able ha des­ple­ga­do su cuar­to par­che de emer­gen­cia en un lapso de cinco se­ma­nas para so­lu­cio­nar una falla de se­gu­ri­dad de má­xi­ma gra­ve­dad en la pla­ta­for­ma N-cen­tral. Este pro­ble­ma per­mi­te la eje­cu­ción re­mo­ta de có­di­go en el ser­vi­dor sin ne­ce­si­dad de au­ten­ti­ca­ción y ha sido cla­si­fi­ca­do como una de­bi­li­dad por in­yec­ción de có­di­go es­tá­ti­co.

Los men­sa­jes in­ter­nos de la com­pa­ñía mues­tran con­tra­dic­cio­nes sobre si la vul­ne­ra­bi­li­dad ya ha sido apro­ve­cha­da en en­tor­nos reales de pro­duc­ción, ya que mien­tras unos avi­sos in­di­can que no hay con­fir­ma­ción al res­pec­to, un aviso de in­ci­den­te se­ña­la que se han ob­ser­va­do ata­ques en curso. Por su parte, la em­pre­sa ha in­di­ca­do que las ins­tan­cias alo­ja­das ya están ac­tua­li­za­das y ha pe­di­do a los clien­tes con im­ple­men­ta­cio­nes lo­ca­les que apli­quen la ac­tua­li­za­ción de in­me­dia­to, acla­ran­do que los agen­tes no re­quie­ren mo­di­fi­ca­cio­nes para estar pro­te­gi­dos.

Di­ver­sas fuen­tes de ci­ber­se­gu­ri­dad han re­co­men­da­do a los ad­mi­nis­tra­do­res li­mi­tar el ac­ce­so de en­tra­da a la con­so­la me­dian­te lis­tas blan­cas de di­rec­cio­nes IP o redes vir­tua­les pri­va­das, e in­clu­so con­si­de­rar des­co­nec­tar el ser­vi­dor de in­ter­net hasta que se apli­que la co­rrec­ción. Esta nueva ac­tua­li­za­ción se suma a una serie de par­ches lan­za­dos desde agos­to de­bi­do a dis­tin­tos pro­ble­mas de se­gu­ri­dad que han afec­ta­do a la pla­ta­for­ma en los úl­ti­mos meses.