N-Central : N-Able fournit un correctif d'urgence

N-able Technologies a publié mardi un correctif d'urgence pour patcher des vulnérabilités inédites qui avaient été rendues publiques plus tôt par un chercheur en sécurité indépendant.

L'éditeur a d'abord rapidement mis hors ligne son environnement N-central hébergé, un outil de supervision et d'administration à distance largement utilisé, après la révélation des vulnérabilités dimanche dernier.

C'est un chercheur indépendant, Sean Bales, qui a publié ce qu'il a qualifié de 33 vulnérabilités critiques, baptisées Able2Shell. Selon lui, leur exploitation réussie pourraient entraîner un vol d'identifiants anonymes, la création d'administrateurs et l'exécution de code à distance.

Sean Bales a publié un rapport détaillé des découvertes sur GitHub, y compris ce qu'il a présenté comme un démonstrateur d'exploitation.

John Pagliuca, président et PDG de N-able, a critiqué cette divulgation, affirmant qu'elle avait été effectuée sans la coordination appropriée et n'avait pas été vérifiée : « la recherche en sécurité nous rend tous plus forts, et nous apprécions les partenaires qui travaillent à nos côtés pour trouver et corriger les problèmes », a-t-il déclaré dans un communiqué, ajoutant « mais lorsque la course pour être le premier à diffuser des découvertes non vérifiées l'emporte sur le devoir de protection, c'est le client qui assume le risque ».

L'éditeur a contesté les affirmations selon lesquelles elle aurait ignoré les tentatives de divulgation responsable des vulnérabilités : « les affirmations selon lesquelles N-able aurait ignoré la divulgation responsable de la part du chercheur sont inexactes [...] Les nouvelles vulnérabilités publiées par le chercheur le 9 novembre n'ont pas été divulguées de manière responsable par nos canaux de signalement établis ».

Après avoir mis N-central hors ligne, l'éditeur a conseillé aux clients utilisant des serveurs N-central sur site de les mettre également hors ligne pendant qu'elle traitait les problèmes soulevés par la divulgation. Les responsables de l'entreprise ont indiqué n'avoir observé aucune exploitation active des vulnérabilités.

N-able a déclaré lundi être au courant d'une activité de reconnaissance associée au démonstrateur publié. L'éditeur a publié mardi le correctif N-central 2026.4 HF2, qui inclut, selon lui, un certain nombre de correctifs et de mises à jour conçus pour améliorer la sécurité. Le français Onyphe a ajouté la détection des vulnérabilités concernées à ses services.