TenableのWindows向けNessus Agentに存在する欠陥により、攻撃者がシステムを完全に侵害する直接的な経路を得る可能性がある。
この脆弱性は「…攻撃者がこの脆弱性を悪用し、昇格されたSYSTEM権限で悪意のあるコードを実行できる、任意コード実行を誘発する可能性がある」と述べたTenableはアドバイザリーで。
Nessus Agentの欠陥について
Nessus Agentは、継続的な脆弱性スキャンを実行するため、企業環境全体に導入されており、重要なシステム上で高い権限で動作していることも多い。
高い権限によって詳細な可視性を得られる一方、リスクも高まる。高い権限で動作するサービスの欠陥は強力な侵入口となり、攻撃者による権限昇格やシステムの完全な制御を可能にする。
脆弱性の仕組み（CVE-2026-33694）
CVE-2026-33694として追跡されているこの脆弱性はCVSSv3スコアが8.2で、WindowsシステムにインストールされたNessus Agentに影響する。
この問題の根本には、シンボリックリンク攻撃またはジャンクション攻撃と呼ばれる弱点がある。これは、Windowsファイルシステムによるシンボリックリンクの処理方法を悪用する手法だ。
Windowsでは、NTFSジャンクションによってファイルシステムの操作をある場所から別の場所へリダイレクトできる。
高い権限を持つサービスがこうしたパスに対して適切な検証を行わずに処理すると、だまされて意図しない操作を実行する可能性がある。
このシナリオでは、ローカルアクセス権を持つ攻撃者が、Nessus Agentの使用するディレクトリに悪意のあるジャンクションを作成できる。
エージェントが一時ファイルや作業ファイルの削除など、通常のファイル操作を実行すると、気付かないままジャンクションをたどり、システム上の別の場所にある任意のファイルを削除する可能性がある。
影響と悪用のリスク
この挙動により、攻撃者はSYSTEM権限で任意のファイルを削除できる。そこから悪意のあるコードを持ち込み、限定的な足がかりをシステムの完全な侵害へと発展させられる。
Tenableはパッチをリリースしており、記事の公開時点で実際に悪用されたとの報告はない。
エンドポイントセキュリティのリスクを低減する
こうしたエージェントは高い権限で動作することが多いため、1つの弱点が企業環境全体に広範な影響を及ぼす可能性がある。
このリスクを低減するには、迅速なパッチ適用、強力なアクセス制御、継続的な監視を実施し、露出を抑えて悪用を早期に検知する必要がある。
- 最新バージョンに更新し、アップデートをテストしてから本番環境に導入する。
- Nessus Agentを実行している資産の完全なインベントリを維持し、価値の高いシステムやインターネットに公開されたシステムを優先して修正する。
- 最小権限アクセスを強制するためのPAMツールを使用し、不要なSYSTEMレベルでの実行を最小限に抑えるためローカルアクセスを制限する。
- 不審なアクティビティを監視するためにEDR、ファイル整合性の監視、異常なファイル削除やジャンクションの悪用、権限昇格の挙動に対するアラートを活用する。
- ファイルパスの処理を検証し、システムとサービスの設定を強化して、ジャンクションやシンボリックリンクの作成を制限し、重要なディレクトリに強力なアクセス制御を適用する。
- アプリケーション制御とエンドポイント保護を実装し、高い権限を取得された場合でも、承認されていないコード実行を防止する。
- テスト対象となるインシデント対応計画と攻撃シミュレーションツールを使用し、エンドポイントの侵害や権限昇格を想定したシナリオに取り組む。
これらの対策を組み合わせることで、防御を強化し、侵害が発生した場合の被害範囲を抑え、レジリエンスを高められる。
信頼されたツールが露出を生むとき
この脆弱性は、企業セキュリティにおけるより大きな課題を浮き彫りにしている。広く信頼されているセキュリティツールも、適切に保護されていなければリスクになり得る。
Nessus Agentは高い権限で動作し、システムを詳細に可視化できるため、その設計や実装の弱点は、影響を受ける環境全体に大きな影響を及ぼす可能性がある。
そのため、組織がゼロトラストアプローチを採用すれば、暗黙の信頼への依存を減らし、侵害されたシステムやアプリケーションの影響を抑えられる。