Microsoft Configuration Manager contient une vulnérabilité d'injection SQL. Un attaquant non authentifié pourrait exploiter cette vulnérabilité en envoyant des requêtes spécialement conçues à l'environnement cible qui sont traitées de manière non sécurisée, permettant à l'attaquant d'exécuter des commandes sur le serveur et/ou la base de données sous-jacente.
Action requise :Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.
Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Exploitable à distance, par le réseau, sans compte, sans action de la victime.
Probabilité d’exploitation dans les 30 jours (EPSS) : 81,0 %, parmi les 0,4 % de CVE les plus susceptibles d’être exploitées
Versions concernées
configuration manager 2403 : toutes versions
configuration manager 2409 : toutes versions
configuration manager 2503 : toutes versions
D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.
Type de faiblesse
Injection SQL (CWE-89) : Le produit construit tout ou partie d'une commande SQL en utilisant des entrées influencées par l'extérieur d'un composant amont, mais il ne neutralise pas ou neutralise incorrectement les éléments spéciaux qui pourraient modifier la commande SQL prévue lorsqu'elle est envoyée à un composant aval.
Chronologie
— Publication de la CVE
— Exploitation confirmée : ajout au catalogue KEV de la CISA
— Échéance de correction pour les agences fédérales américaines
Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.
Texte original de la CISA (anglais)
Microsoft Configuration Manager SQL Injection Vulnerability
Microsoft Configuration Manager contains an SQL injection vulnerability. An unauthenticated attacker could exploit this vulnerability by sending specially crafted requests to the target environment which are processed in an unsafe manner enabling the attacker to execute commands on the server and/or underlying database.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.