CVE-2026-121565: Tanium addressed an improper certificate validation vulnerability in multiple products

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (Tanium). Не зависят от анализа CPE в NVD и обычно опережают его.

• Tanium Asset

  • 1.33 и новее · до 1.33.334затронута
  • 1.36 и новее · до 1.36.182затронута
  • 1.39 и новее · до 1.39.164затронута

• Tanium Comply

  • 2.32 и новее · до 2.32.275затронута
  • 2.35 и новее · до 2.35.337затронута
  • 2.37 и новее · до 2.37.347затронута

• Tanium Connect

  • 5.29 и новее · до 5.29.272затронута
  • 5.37 и новее · до 5.37.177затронута
  • 5.47 и новее · до 5.47.135затронута

• Tanium Endpoint Configuration Toolset Solution

  • 1.51 и новее · до 1.51.61затронута
  • 1.59 и новее · до 1.59.51затронута
  • 1.71 и новее · до 1.71.26затронута

• Tanium Health Check

  • 1.13 и новее · до 1.13.653затронута

• Tanium Integrity Monitor

  • 3.6 и новее · до 3.6.608затронута
  • 3.7 и новее · до 3.7.383затронута
  • 3.8 и новее · до 3.8.362затронута

• Tanium Patch

  • 3.24 и новее · до 3.24.328затронута
  • 3.28 и новее · до 3.28.346затронута
  • 3.32 и новее · до 3.32.383затронута

• Tanium Performance

  • 1.25 и новее · до 1.25.196затронута

• Tanium Provision Host

  • 10.4.100 и новее · до 10.4.100затронута · semver
  • 10.8.115 и новее · до 10.8.115затронута · semver
  • 10.9.113 и новее · до 10.9.113затронута · semver
  • 10.10.189 и новее · до 10.10.189затронута · semver
  • 10.11.127 и новее · до 10.11.127затронута · semver

• Tanium Reputation

  • 6.6 и новее · до 6.6.150затронута
  • 6.7 и новее · до 6.7.143затронута
  • 6.8 и новее · до 6.8.167затронута

• Tanium Reveal

  • 2.4 и новее · до 2.4.109затронута
  • 2.5 и новее · до 2.5.166затронута

• Tanium TanOS

  • 1.8.5 и новее · до 1.8.5.0326затронута
  • 1.8.6 и новее · до 1.8.6.0193затронута
  • 1.9.0 и новее · до 1.9.0.0089затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2025-15311Tanium addressed an unauthorized code execution vulnerability in Tanium Appliance.
  31Наблюдать
• CVE-2025-15312Tanium addressed an improper output sanitization vulnerability in TanOS.
  28Наблюдать
• CVE-2025-13225Tanium addressed an arbitrary file deletion vulnerability in TanOS.
  24Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2025-153215 февр. 2026 г. · Tanium addressed an improper input validation vulnerability in Tanium Appliance.
  10Наблюдать
• ← РаньшеCVE-2025-153235 февр. 2026 г. · Tanium addressed an improper certificate validation vulnerability in Tanium Appliance.
  14Наблюдать
• ← РаньшеCVE-2026-260519 февр. 2026 г. · Tanium addressed an insertion of sensitive information into log file vulnerability in TanOS.
  21Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Ошибка проверки сертификата незаметно подавляется вместо разрыва соединения. Часто это код, добавленный для тестовой среды и попавший в продуктивную.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1override fun checkServerTrusted(chain: Array<X509Certificate>, type: String) {2  // Оставлено пустым для тестовой среды3}

1val client = OkHttpClient.Builder()2  .certificatePinner(3    CertificatePinner.Builder()4      .add("api.sirius.example", "sha256/…")5      .build()6  ).build()

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.