Sicherheitsalarm bei Tenable Nessus: Kritische Schwachstellen
Mal wieder ein Produkt, dass Systeme absichern soll, und sie unsicherer macht: Tenable Nessus, eine Plattform für die Sicherheitsüberwachung von Systemen, weist aktuell drei Schwachstellen auf, die Angreifer zur Ausnutzung für systembezogene Attacken nutzen könnten. Die Schwachstellen betreffen Komponenten wie libxml2 und libxslt sowie direkt den Code des Schwachstellen- und Netzwerkscanners, der in Nessus integriert ist. Zwei der Sicherheitslücken (CVE-2025-6021 und CVE-2025-24855), die mit hohem Schweregrad eingestuft sind, konzentrieren sich auf Speicherfehler in libxml2 und libxslt. Die Ausnutzung dieser Fehler kann zu einem Denial-of-Service (DoS)-Zustand führen, wodurch Systeme abstürzen. Besonders bedrohlich an Speicherfehlern ist die Möglichkeit, dass durch sie Schadcode eingeschleust wird und somit Systeme gefährdet werden. Obwohl der genaue Ablauf einer solchen Attacke derzeit unklar ist, stellt diese Kombination aus DoS und potenzieller Malware-Infiltration ein ernstzunehmendes Risiko dar. Die dritte Schwachstelle (CVE-2025-36630), ebenfalls hoch eingestuft, ermöglicht es Angreifern, auch als nicht-administrative Nutzer Systemdateien mit Systemrechten zu überschreiben. Dies eröffnet die Möglichkeit umfassender Systemeinflüsse und potenzieller Datenmanipulationen. Bisher gibt es keine Berichte über laufende Attacken; allerdings betonen die Entwickler dringend die zeitnahe Installation des Sicherheitsupdates für abgesicherte Ausgaben von Nessus. Dieses Update enthält gepatchte Versionen von libxml2 (2.13.8) und libxslt (11.1.43), die die Schwachstellen schließen. Alle vorhergehenden Ausgaben von Nessus sind anfällig und erfordern somit umgehendes Handeln. Die Bekanntheit der Lücken seit Mai dieses Jahres sowie die erst jetzt erfolgte Veröffentlichung des Updates werfen Fragen hinsichtlich der Reaktionszeit auf Sicherheitsbedrohungen auf, besonders im Kontext jüngster Sicherheitslücken in Tenable Agent, die ebenfalls zu Kompromittierungen von Systemen führten.
Schlagwörter: libxml2 + DoS + CVE-2025-36630
(pz)
