Se ha detectado un caso real de explotación de la vulnerabilidad RCE de preautenticación de N-able N-central

La Agen­cia de Ci­ber­se­gu­ri­dad y Se­gu­ri­dad de In­fra­es­truc­tu­ra de Es­ta­dos Uni­dos in­cor­po­ró una falla grave de se­gu­ri­dad que afec­ta a N-able N-cen­tral a su ca­tá­lo­go de vul­ne­ra­bi­li­da­des ex­plo­ta­das co­no­ci­das. De­bi­do a esto, las agen­cias ci­vi­les fe­de­ra­les eje­cu­ti­vas tie­nen la obli­ga­ción de im­ple­men­tar los par­ches co­rres­pon­dien­tes den­tro del plazo es­ta­ble­ci­do. La vul­ne­ra­bi­li­dad se­ña­la­da con­sis­te en un pro­ble­ma de in­yec­ción de có­di­go es­tá­ti­co que po­si­bi­li­ta la eje­cu­ción re­mo­ta de có­di­go pre­via a la au­ten­ti­ca­ción.

Esta me­di­da se adop­tó luego de que una firma ini­cia­ra ave­ri­gua­cio­nes tras el ata­que su­fri­do en el en­torno de pro­duc­ción de un clien­te que ya con­ta­ba con todas las ac­tua­li­za­cio­nes. Aun­que se in­ves­ti­ga este caso, aún no se de­ter­mi­na con cer­te­za si el ac­ce­so no au­to­ri­za­do se debió a esta falla o a otras dos vul­ne­ra­bi­li­da­des dis­tin­tas que tam­bién re­ci­bie­ron co­rrec­cio­nes pre­vias, las cua­les per­mi­ten sor­tear la au­ten­ti­ca­ción y crear cuen­tas de ad­mi­nis­tra­dor de forma re­mo­ta. Las li­mi­ta­cio­nes en los re­gis­tros his­tó­ri­cos del dis­po­si­ti­vo im­pi­den con­fir­mar el vec­tor exac­to uti­li­za­do o des­car­tar otros mé­to­dos.

Por su parte, la em­pre­sa fa­bri­can­te emi­tió una ad­ver­ten­cia ur­gen­te a los usua­rios in­di­can­do que se ha de­tec­ta­do el uso ac­ti­vo de esta de­bi­li­dad en ata­ques reales, re­co­men­dan­do la ins­ta­la­ción in­me­dia­ta de la ac­tua­li­za­ción co­rrec­ti­va. Es­pe­cia­lis­tas en ges­tión de ex­po­si­cio­nes lo­gra­ron re­pli­car con éxito la falla, ad­vir­tien­do que su ex­plo­ta­ción per­mi­te al­te­rar el sis­te­ma y pro­pa­gar cam­bios a todos los equi­pos co­nec­ta­dos. De­bi­do a que estas pla­ta­for­mas son muy uti­li­za­das para ad­mi­nis­trar redes com­ple­tas, su vul­ne­ra­ción re­pre­sen­ta un gran atrac­ti­vo para gru­pos de­di­ca­dos al soft­wa­re ma­li­cio­so de res­ca­te.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre otros as­pec­tos ope­ra­ti­vos de los in­ci­den­tes ni sobre me­di­das adi­cio­na­les de mi­ti­ga­ción más allá de las men­cio­na­das.