L'accès à distance de l'entreprise N-able a confirmé qu'elle avait mis hors ligne ses produits hébergés dans le cloud afin d'effectuer des correctifs, après qu'une série de vulnérabilités de sécurité ait été publiée en ligne cette semaine, sans que l'entreprise n'ait eu le temps de les corriger avant la divulgation publique.
L'entreprise a indiqué dans sa mise à jour d'état sur son site web que sa version hébergée pour les clients de N-Central est actuellement hors ligne : « Nous prenons les mesures nécessaires pour protéger l'environnement concerné et mettre en œuvre les correctifs appropriés ». L'entreprise a également encouragé ses clients à désactiver leurs déploiements auto-hébergés de N-Central, en raison de la crainte que les attaquants n'exploitent les vulnérabilités récemment divulguées pour pénétrer leurs réseaux.
N-able indique que, pendant cette période, les clients ne pourront pas utiliser le service N-Central. Ce service permet aux clients professionnels d'accéder à distance et de gérer d'autres appareils et systèmes sur le même réseau. Les technologies d'accès à distance sont fréquemment ciblées par des pirates, car ces systèmes peuvent accorder aux attaquants un accès étendu au réseau de l'entreprise et à ses données internes.
Le chercheur en sécurité Ben Bales a divulgué ces vulnérabilités « zero-day » sur GitHub dimanche. Bales a désigné ce lot de vulnérabilités comme Able2Shell sur X et les a décrites comme un ensemble de vulnérabilités combinables permettant de voler des identifiants, de créer de nouveaux comptes administrateurs et d'obtenir des privilèges root sur les systèmes N-able affectés.
Bales a déclaré à Bleeping Computer qu'il avait rendu publics ces vulnérabilités car l'entreprise n'aurait pas corrigé les défauts qu'il avait précédemment signalés dans un autre produit.
N-able a déclaré qu'aucune preuve ne montre qu'un environnement client ait été exploité avec succès. Le porte-parole de N-able n'a pas répondu aux demandes de commentaire concernant la capacité de l'entreprise à vérifier, par exemple, si elle peut consulter les journaux serveur ou si elle ne peut tout simplement pas les vérifier.