A plataforma N-central de gerenciamento e monitoramento remoto (RMM) da N-able enfrenta riscos críticos de segurança após a descoberta de múltiplas vulnerabilidades.
De acordo com o Horizon3.ai, ele permite que invasores não autenticados ignorem a autenticação, acessem APIs legadas e extraiam arquivos confidenciais, incluindo credenciais e backups de banco de dados.
A Cadeia de Vulnerabilidade
No início deste ano, o N-able N-central foi adicionado ao catálogo CISA Known Exploited Vulnerabilities (KEV) para CVE-2025-8875 e CVE-2025-8876.
Essas vulnerabilidades permitem que invasores autenticados obtenham execução remota de código por meio de desserialização e injeção de comando.
Exposição Shodan
Os pesquisadores do Horizon3.ai encontraram falhas mais sérias nas versões mais recentes. Eles também descobriram novas fraquezas e construíram uma perigosa cadeia de ataques.
AspectCVE-2025-9316CVE-2025-11700CVE IDCVE-2025-9316CVE-2025-11700Nome da vulnerabilidadeIgnorar autenticação via método de autenticação fracaVazamento de informações de entidade externa XML (XXE)Pontuação CVSS9.18.2GravidadeCríticaAlta
Um invasor não autenticado pode explorar o CVE-2025-9316, um desvio de autenticação fraco na API SOAP herdada, para obter IDs de sessão válidos.
Este acesso inicial abre portas para CVE-2025-11700, uma vulnerabilidade de injeção de entidade externa XML (XXE) que permite a leitura de arquivos arbitrários do sistema de arquivos.
Com aproximadamente 3.000 instâncias N-centrais expostas na Internet, de acordo com Shodan, a superfície de ataque é significativa.
Os pesquisadores do Horizon3.ai demonstraram como os invasores podem encadear essas vulnerabilidades para ler arquivos de configuração confidenciais, incluindo /opt/nable/var/ncsai/etc/ncbackup.conf, que contém credenciais de backup de banco de dados armazenadas em texto não criptografado.
Descriptografando segredos fornecidos por masterPassword e keystore.bcfks
O mais importante é que o acesso ao backup do banco de dados N-central revela todos os segredos de integração: credenciais de domínio, chaves de API, chaves privadas SSH e entradas criptografadas do banco de dados.
Usando chaves criptográficas armazenadas no backup (masterPassword e keystore.bcfks), os invasores podem descriptografar todos os segredos armazenados, levando ao comprometimento total da infraestrutura.
A N-able corrigiu essas vulnerabilidades na versão 2025.4.0.9, lançada em 5 de novembro de 2025, restringindo o acesso a endpoints de API SOAP legados vulneráveis.
As organizações devem atualizar imediatamente e revisar os logs em busca de indicadores de exploração, incluindo entradas “Falha ao importar modelo de serviço” em dmsservice.log.
A cadeia de vulnerabilidades demonstra por que os endpoints de API herdados representam riscos de segurança persistentes em software empresarial, especialmente para soluções RMM amplamente implantadas que os agentes de ameaças geralmente visam.
Siga-nos no Google News, LinkedIn e X para atualizações diárias de segurança cibernética. Contate-nos para apresentar suas histórias.
