Tenable Identity Exposure: Befehlsinjektion im AD Events Listener
Zusammenfassung
Der Active Directory Events Listener von Tenable Identity Exposure (SaaS) enthält eine Befehlsinjektion (CWE-78). Ein authentifizierter Angreifer mit einem Konto mit niedrigen Rechten kann beliebige Befehle als SYSTEM auf dem PDC-Emulator ausführen, was zur vollständigen Kompromittierung der Domäne führen kann. Für die Ausnutzung ist ein gültiges Domänenkonto und Zugriff auf den Eingabepfad des Listeners nötig; die Quellen beschreiben keine Exposition des Listeners im Internet.
Betroffen
- Tenable Identity Exposure (SaaS) Versionen vor 3.126.0 (CVE-Eintrag: 0 bis < 3.126.0)
- Der Tenable-Advisory nennt 3.125.0 und frühere Versionen
- Unbekannt: genaue Listener-Build-Nummern innerhalb des betroffenen Bereichs
Behoben in
- Tenable Identity Exposure (SaaS) 3.126.0 und neuer
- Bestehende Listener-Installationen müssen nach dem Upgrade Register-TenableIOA.ps1 -Uninstall ausführen und den Listener neu installieren
Umgehung
- Kein herstellerseitiger Workaround bekannt.
- Generische Empfehlungen von Drittanbietern: Zugriff auf den Listener einschränken und auf unerwartete Befehlsausführung überwachen. Dies ist keine Empfehlung von Tenable.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn gemeldet.
- CISA SSVC: Ausnutzung keine, automatisierbar nein.
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS zum Zeitpunkt der Abfrage etwa 0,02.
Unsere Empfehlung
- Hohe Priorität behandeln, sofern der Listener im Einsatz ist.
- Auf Tenable Identity Exposure 3.126.0 (SaaS) aktualisieren.
- Register-TenableIOA.ps1 -Uninstall ausführen, danach den Listener neu installieren und die Listener-Version anschliessend prüfen.
- Prüfen, welche Domänenkonten mit niedrigen Rechten den Listener erreichen können, und diese einschränken.
- Domänencontroller auf unerwartete Befehlsausführung als SYSTEM überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Tenable Security Advisory TNS-2026-27 www.tenable.com
- Tenable Identity Exposure SaaS 2026 release notes docs.tenable.com
- Rapid7 vulnerability entry CVE-2026-106126 www.rapid7.com
- CVEfeed entry CVE-2026-106126 cvefeed.io
- Strix CVE entry CVE-2026-106126 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:10.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.