🔍 Contexte

Publié le 10 novembre 2026 sur GitHub (Oracle-Security/CVEs), ce dépôt présente une collection massive de zero-days non patchés affectant N-able N-Central Appliance version 2026.4.0.31 (pré-release). L’auteur précise que la majorité des vulnérabilités s’appliquent également aux versions antérieures, y compris la dernière version stable.

🎯 Vulnérabilités publiées

Plus de 33 vulnérabilités distinctes sont documentées avec des PoC Python fonctionnels, couvrant notamment :

  • RCE anonyme (uid=0/root) via chaînes d’exploitation combinant XXE, XSS stocké, injection OGNL, injection syslog-ng
  • RCE anonyme (uid=992/nable) via traversée de répertoire SIS, upload de fichier, injection OGNL
  • Divulgation de credentials : credentials base de données asset-discovery, credentials Ecosystem Agent MMS3, tokens d’enregistrement
  • Stack overflow (GenericTCP) menant à exécution root
  • Création de compte Technician non autorisée via ServerEI2
  • Impersonation MDM UDID anonyme
  • Énumération de comptes via reset de mot de passe
  • Écrasement de configuration globale anonyme (SysConfig.Set)
  • Écriture arbitraire de fichiers (repository publish, traversée SIS)
  • Injection d’options Sendmail menant à RCE root
  • Passcode MMS3 prédictible permettant session anonyme authentifiée

⛓️ Chaînes d’exploitation notables

  1. XXE anonyme → RCE nable : MMS2 write + XXE pre-auth + confusion session NCI + reset password + exécution JSP
  2. XSS stocké MMS3 → RCE root : injection metadata patch anonyme + XSS admin → injection grammaire syslog-ng Audit Export
  3. XSS stocké MMS3 → OGNL RCE : même vecteur XSS → sink OGNL Security Manager
  4. Traversée SIS → root : JSP dans Jetty (nable) + installateur syslog passwordless (root)

📦 Produit affecté

  • N-able N-Central Appliance 2026.4.0.31 (pré-release)
  • Versions antérieures également vulnérables selon l’auteur
  • Aucun patch disponible au moment de la publication

📄 Nature de l’article

Il s’agit d’une publication de recherche offensive avec divulgation complète (full disclosure) incluant des scripts PoC Python opérationnels, des captures d’écran et des sorties de commandes réelles démontrant l’exploitation.

🧠 TTPs et IOCs détectés

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1059 — Command and Scripting Interpreter (Execution)
  • T1203 — Exploitation for Client Execution (Execution)
  • T1134 — Access Token Manipulation (Privilege Escalation)
  • T1068 — Exploitation for Privilege Escalation (Privilege Escalation)
  • T1083 — File and Directory Discovery (Discovery)
  • T1552 — Unsecured Credentials (Credential Access)
  • T1087 — Account Discovery (Discovery)
  • T1136 — Create Account (Persistence)
  • T1505.003 — Server Software Component: Web Shell (Persistence)
  • T1071 — Application Layer Protocol (Command and Control)
  • T1210 — Exploitation of Remote Services (Lateral Movement)
  • T1565 — Data Manipulation (Impact)
  • T1078 — Valid Accounts (Defense Evasion)
  • T1059.007 — Command and Scripting Interpreter: JavaScript (Execution)
  • T1055 — Process Injection (Privilege Escalation)
  • T1574 — Hijack Execution Flow (Privilege Escalation)

IOC

  • IPv4 : 192.168.1.14 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 192.168.1.145 — AbuseIPDB · VT · ThreatFox
  • Emails : productadmin@n-able.com
  • Fichiers : anonymous_asset_job_credentials.py
  • Fichiers : anonymous_mms2_cross_appliance_write.py
  • Fichiers : anonymous_mms3_ecosystem_credentials.py
  • Fichiers : anonymous_mms3_xss_ognl_rce.py
  • Fichiers : anonymous_mms3_xss_root_rce.py
  • Fichiers : anonymous_probe_inventory.py
  • Fichiers : anonymous_remote_control_audit_tampering.py
  • Fichiers : anonymous_remote_control_disconnect.py
  • Fichiers : anonymous_sysconfig_write.py
  • Fichiers : anonymous_xxe_nable_rce.py
  • Fichiers : appliance_registration_customer_binding.py
  • Fichiers : audit_export_root_rce.py
  • Fichiers : automation_manager_policy_disclosure.py
  • Fichiers : automation_policy_source_download.py
  • Fichiers : backup_restore_keymap_jsp_rce.py
  • Fichiers : backup_restore_sendmail_root_rce.py
  • Fichiers : custom_service_import_xxe.py
  • Fichiers : file_repository_traversal_rce.py
  • Fichiers : generictcp_stack_overflow.py
  • Fichiers : mdm_udid_command_impersonation.py
  • Fichiers : nsp_root_rce.py
  • Fichiers : ognl_rce.py
  • Fichiers : password_reset_account_enumeration.py
  • Fichiers : predictable_mms3_passcode.py
  • Fichiers : preupgrade_helper_root_rce.py
  • Fichiers : repository_publish_arbitrary_write.py
  • Fichiers : sis_genericfiles_traversal_rce.py
  • Fichiers : sis_repository_xxe.py
  • Fichiers : syslog_installer_root_rce.py
  • Fichiers : technician_peer_account_creation.py
  • Fichiers : technician_registration_token_disclosure.py
  • Fichiers : test_email_option_injection.py
  • Fichiers : view_only_deviceexecute_write.py
  • Chemins : /opt/nable/webapps/ROOT/tmp/sendmail_test.txt
  • Chemins : /etc/hostname

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 10 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟡 Indice de vérification factuelle : 50/100 (moyenne)

  • ⬜ github.com — source non référencée (0pts)
  • ✅ 23763 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 38 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ 0/2 IOCs confirmés externellement (0pts)
  • ✅ 17 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://github.com/Oracle-Security/CVEs/tree/main/0-Days/N-Central%20N-Able