Tanium закрыла внедрение команд в Threat Response. Уязвимость позволяет пользователю с правом записи на Threat Response запустить посторонний код на хостах под управлением Linux. Нужно одно условие: на машине должен стоять пакет карантина. При этом остальные платформы уязвимость не затрагивает.
Уязвимость CVE-2026-116650 в модуле Threat Response
Запись CVE-2026-116650 опубликовали 3 ноября 2026 года, а зарезервировали её 26 октября. Номер уведомления вендора - TAN-2026-095. При этом уязвимость затрагивает ветки Threat Response 2025H1, 2025H2 и 2026H1. Касается это организаций, которые держат пакет карантина на Linux-хостах в рабочей сети. Исследователя, нашедшего уязвимость, вендор не назвал.
Причина уязвимости - внедрение команд в операционную систему. Продукт не очищает специальные символы в данных, которые присылает пользователь. Из-за этого к штатной команде можно дописать свою и выполнить её на хосте. По шкале CVSS, которая считает баллы от 0 до 10, уязвимость получила 7.5, это высокий уровень. Атака идёт по сети, сложность высокая, привилегии низкие, участие пользователя не нужно.
Условия эксплуатации
Высокая сложность атаки означает, что автоматический перебор здесь не сработает. Злоумышленнику нужен сетевой доступ к Threat Response и учётная запись с правом записи. Кроме того, ему придётся разобраться, как именно продукт собирает команду для хоста. Зато участие пользователя не требуется. Поэтому команда уйдёт на машину без дополнительных подтверждений от владельца.
На практике внедрение команд означает запуск произвольного кода на хосте. Из-за этого злоумышленник выходит за рамки функций Threat Response. Высокие оценки по целостности и доступности это подтверждают. Поэтому право записи в Threat Response стоит считать привилегией с широкими последствиями. Проверять его нужно так же строго, как доступ администратора.
Уязвимость связана именно с пакетом карантина для Linux. Если этот пакет на хосте не установлен, внедрение команд через него не сработает. Поэтому обновлять стоит весь продукт, а не только хосты с карантином. Иначе закрытой окажется лишь часть контура. Данных о других платформах в уведомлении нет.
Какие сборки затронуты и что ставить
Затронуты сборки Threat Response до указанных вендором отметок. В ветке 2025H1 это версии от 4.9 до 4.9.480. Для 2025H2 граница проходит по 4.12.353, для 2026H1 - по 4.17.333. Номера обновлений и номера сборок различаются, поэтому сверять нужно именно сборку. Если сборка ниже границы, хост остаётся уязвимым.
Исправления вышли для каждой затронутой ветки. Для 2025H1 нужен Update 27, то есть сборка 4.9.480 или новее. Ветке 2025H2 соответствует Update 17 и сборка 4.12.353. Для 2026H1 выпустили Update 10 со сборкой 4.17.333. Поэтому более поздние сборки Tanium тоже считает закрытыми.
После обновления продукт по-прежнему принимает команды от пользователей с правом записи. Однако произвольный код на хостах Linux через пакет карантина уже не запустить. В результате защищённость возвращается к обычной модели доверия внутри Threat Response. Часть риска остаётся: право записи всё ещё даёт много возможностей. Хосты без карантина это не затрагивает.
Обходных мер вендор при этом не предложил. Сведений об эксплуатации в реальных атаках в уведомлении тоже нет. Публичное раскрытие деталей само по себе не значит, что уязвимость уже используют. Поэтому единственный путь - установка обновления. После патча внедрение команд через пакет карантина закрывается.
До обновления стоит сузить круг учётных записей с правом записи в Threat Response. Кроме того, полезно проверить, на каких именно хостах стоит пакет карантина. Так администратор поймёт объём работ и порядок обновления. После этого проверку прав можно повторять регулярно. Порядок действий снижает риск, пока патч не встал на всех хостах.
Ссылки
