Tenable Agent の脆弱性 CVE-2025-36631／36632／36633 が FIX：SYSTEM 権限での操作が可能に

Tenable Agent for Windows Vulnerability Let Attackers Login as Admin to Delete The System Files

2025/06/14 CyberSecurityNews — サイバー・セキュリティの大手である Tenable は、Agent ソフトウェアのバージョン 10.8.5 をリリースした。この最新リリースは、バージョン 10.8.5 以下の Windows ホストに影響を及ぼす、３件の深刻なセキュリティ脆弱性を修正するものだ。これらの脆弱性 CVE-2025-36631／CVE-2025-36632／CVE-2025-36633 は、SYSTEM 権限を悪用する非管理者ユーザーに対して、深刻なシステム侵害やローカル権限昇格を許すものである。

脆弱性の詳細
  • CVE-2025-36631: SYSTEM 権限による任意ファイルの上書き

この脆弱性を悪用する管理者以外のユーザーは、SYSTEM 権限を用いて、任意のローカル・ファイルをログ・コンテンツで上書できる。ログ出力を操作する攻撃者は、重要なシステム・ファイルの破損／動作の妨害／悪意のファイル埋め込み／システム・コンフィグ変更などにつながる状況を作り出せる。

この脆弱性を悪用する非管理者ユーザーは、SYSTEM 権限で任意のコードを実行し、対象となる Windows ホストの完全な制御を手にする。それにより、悪意のソフトウェアのインストール／システムプロセスの操作／永続的なアクセス権の取得などを実行する攻撃者は、ユーザー組織のセキュリティに重大なリスクをもたらすという。

この脆弱性を悪用する管理者以外のユーザーは、SYSTEM 権限での任意のローカル・ファイルの削除を可能にする。結果として、データの損失／システムの不安定化／重要なセキュリティ制御の削除などが発生し、さらなる権限昇格やシステム侵害につながる可能性がある。

緩和策

すでに Tenable は、バージョン 10.8.5 へのアップグレードをリリースし、これらの問題に対処している。ユーザーに対して強く推奨されるのは、影響を受ける全てシステムにおける、速やかなアップグレードである。

同社は、セキュリティに対する積極的な取り組みの一環として、「脆弱性への迅速な対応を優先し、顧客を保護するためのタイムリーなパッチ適用を推奨している」と述べている。

なお、脆弱性の報告について Tenable は、自社の脆弱性報告ガイドラインに従うよう、研究者に対して呼びかけている。

Tenable が公開した Agent バージョン 10.8.5 は、SYSTEM 権限の乱用により発生する３件の深刻な脆弱性 CVE-2025-36631～36633 を修正するものです。ご利用のチームは、十分に ご注意ください。よろしければ、Tenable で検索も、ご参照ください。