В Tenable Identity Exposure обнаружили несколько уязвимостей. С их помощью атакующий может выполнить произвольные команды, нагрузить сервер запросами и прочитать служебный ключ из локального журнала. Исправления уже вышли. В бюллетене нет данных об эксплуатации этих уязвимостей в реальных атаках.
Внедрение команд в CVE-2026-119314
Первый случай касается внедрения команд в компоненте Active Directory Events Listener. Этот компонент собирает события домена и передаёт их в продукт. Для атаки нужна учётная запись с низкими правами. Участие пользователя при этом не нужно. Достаточно отправить на узел специально подготовленные данные.
Уязвимость CVE-2026-119314 живёт в обработчике событий Active Directory. Аутентифицированный пользователь с минимальными правами может подставить свою команду в данные события. В результате она выполнится от имени SYSTEM на эмуляторе основного контроллера домена. Это максимальные права в Windows. Злоумышленнику хватит сетевого подключения и действующей учётной записи.
Последствия для организации здесь шире одного сервера. Эмулятор основного контроллера домена хранит данные каталога и обрабатывает вход в систему. Команды от имени SYSTEM позволяют менять политики безопасности и добавлять учётные записи. В результате под угрозой оказывается весь домен, а не только хост с продуктом. Заметить такие действия трудно, потому что они похожи на работу службы.
Отказ в обслуживании через GraphQL API
Вторая уязвимость, CVE-2026-119315, связана с GraphQL API. Через этот интерфейс клиенты запрашивают данные о состоянии домена. Специально составленный запрос заставляет сервер тратить много ресурсов. Из-за этого легитимные пользователи получают отказ или заметные задержки. Хватит учётной записи с низкими правами.
Для организации это означает перебой в мониторинге. Пока консоль не отвечает, аналитики не видят событий домена. Кроме того, часть фоновых задач может завершиться ошибкой. В результате пробел в наблюдении остаётся и после восстановления сервиса.
Здесь страдает доступность, а не конфиденциальность. Остановить поток таких запросов можно только на стороне сервера. Поэтому до установки патча стоит ограничить круг учётных записей с доступом к API. Это снижает риск, хотя и не убирает его.
Ключ связи в локальном журнале ошибок
Третья уязвимость, CVE-2026-119316, касается компонента Windows Secure Relay. Это посредник, через который продукт работает с хостами Windows. Если установка релея завершилась ошибкой, ключ привязки записывается в локальный журнал. Прочитать журнал может любой пользователь с доступом к этому хосту. Ключ используется при связывании релея с продуктом.
Условия здесь мягче, чем в случае с внедрением команд. Нужен доступ к файловой системе хоста, где сорвалась установка. Сетевой атаки не требуется. При этом утечка ключа не даёт злоумышленнику учётной записи в домене. Однако служебные данные попадают к тем, кому они не предназначались.
Какие версии ставить
Tenable закрыла эти уязвимости в версиях 3.93.6 и 3.77.18. Бюллетень безопасности Tenable tns-2026-34 опубликован 30 октября 2026 года. Уязвимы сборки линейки 3.x младше 3.93.6, а также версии младше 3.77.18. Установочные файлы лежат на портале загрузок Tenable. Обходных мер вендор не предложил.
После обновления проверяют, что все компоненты запустились. Отдельно смотрят на обработчик событий и на релей. Ключ, попавший в журнал до патча, остаётся в файле. Поэтому старые журналы стоит очистить или ограничить к ним доступ.
Начинать обновление логичнее с узлов, где работает обработчик событий Active Directory. Именно там возможны команды от имени SYSTEM. Если такой узел совмещён с контроллером домена, обновление ставят в первую очередь. При этом остальные уязвимости требуют либо учётной записи, либо доступа к хосту. Поэтому их исправление можно совместить с плановым обслуживанием.
После установки патча перечисленные сценарии перестают работать. Обработчик событий больше не принимает команды от низкопривилегированных учётных записей. GraphQL API получает ограничения на ресурсоёмкие запросы. При ошибке установки ключ больше не попадает в журнал. Обновление стоит поставить на всех узлах, где развёрнуты компоненты продукта.
Ссылки
