Tenable schließt kritische Lücke in Identity Exposure

Für Tenable Identity Exposure sind Sicherheitsupdates erschienen. Mit den Ausgaben 3.93.6 und 3.77.18 beseitigt der Hersteller drei Schwachstellen. Eine davon ist als kritisch eingestuft. Das am 30. Oktober veröffentlichte Bulletin betrifft eine Plattform zur Erkennung und Verwaltung von Sicherheitsrisiken in Microsoft Active Directory.

Die höchste Bewertung erhält CVE-2026-119314: Der Hersteller nennt einen CVSS-v3-Basiswert von 9,9 und einen CVSS-v4-Basiswert von 9,4.

Ein bereits angemeldeter Angreifer mit niedrigen Berechtigungen könnte über den Active Directory Events Listener beliebige Befehle mit SYSTEM-Rechten ausführen. Ziel ist dabei der als PDCe bezeichnete Domänencontroller.

Ein anderes Risiko entsteht bei der Installation von Windows Secure Relay. Schlägt diese fehl, landet der Verbindungsschlüssel in einer lokalen Fehlerprotokolldatei. Personen mit Zugang zum betroffenen Rechner könnten ihn dort auslesen. Dieser Fehler wird unter CVE-2026-119316 mit einem CVSS-v3-Basiswert von 4,1 geführt.

Auch die GraphQL-API lässt sich laut Hersteller missbrauchen. Bei CVE-2026-119315 können angemeldete Nutzer mit niedrigen Berechtigungen durch präparierte Abfragen so viele Serverressourcen beanspruchen, dass der Dienst für andere langsamer wird oder ausfällt. Der CVSS-v3-Basiswert liegt bei 4,3.

Als betroffene Stände nennt Tenable 3.93.5 und ältere sowie 3.77.17 und ältere Versionen von Identity Exposure. Die korrigierten Ausgaben sind 3.93.6 und 3.77.18. Die Installationsdateien stellt der Hersteller über sein Downloadportal bereit.

Der italienische CSIRT hat die Warnung ebenfalls veröffentlicht und empfiehlt, betroffene Produkte nach den Herstellerangaben zu aktualisieren.