Agenția pentru Securitate Cibernetică și Infrastructură a SUA a adăugat miercuri o vulnerabilitate critică de tip SQL injection din Microsoft Configuration Manager în catalogul său Known Exploited Vulnerabilities (KEV), confirmând că actorii de amenințare vizează în prezent activ această vulnerabilitate în atacuri, la aproape patru luni după ce a fost lansată o remediere.

Vulnerabilitatea, identificată ca CVE-2024-43468, are un scor de severitate CVSS de 9.8 din 10 și permite atacatorilor de la distanță neautentificați să execute comenzi arbitrare pe serverele afectate și bazele de date subiacente prin trimiterea de cereri special concepute către mediul țintă. Agențiile civile federale au primit ordin să aplice măsuri de remediere până pe 5 martie 2026, conform Directivei Operaționale Obligatorii 22-01.

Un decalaj de patru luni

Microsoft a corectat CVE-2024-43468 ca parte a actualizărilor Patch Tuesday din octombrie 2024, evaluând-o la acel moment ca singura vulnerabilitate din luna respectivă cu un scor CVSS de bază aproape maxim de 9.8. Vulnerabilitatea a fost descoperită și raportată de firma franceză de securitate ofensivă Synacktiv, care ulterior a publicat o analiză tehnică detaliată și cod de exploatare demonstrativ în ianuarie 2025.

Vulnerabilitatea există în serviciul MP_Location, care procesează mesaje de la clienți fără sanitizare adecvată a datelor de intrare. Au fost identificate două vectori distinși de injecție SQL, niciunul necesitând autentificare. Conform Synacktiv, exploatarea cu succes permite atacatorilor să execute interogări SQL arbitrare cu privilegii la nivel de sysadmin, putând activa potențial procedura xp_cmdshell pentru execuție de cod de la distanță.

Microsoft Configuration Manager, cunoscut anterior ca System Center Configuration Manager, este utilizat pe scară largă de către întreprinderi pentru a gestiona grupuri mari de servere și stații de lucru Windows, a implementa software, a distribui actualizări și a gestiona imaginile de sistem de operare pe mii de puncte terminale.

Parte a unei actualizări KEV mai ample

CISA a adăugat CVE-2024-43468 alături de alte trei vulnerabilități exploatate activ pe 12 februarie. Celelalte defecțiuni includ o ocolire a verificării integrității în Notepad++ (CVE-2025-15556), o ocolire a controalelor de securitate în SolarWinds Web Help Desk (CVE-2025-40536) și o vulnerabilitate de depășire a buffer-ului în Apple (CVE-2026-20700) care afectează iOS, iPadOS, macOS și alte platforme Apple.

Grupul de Analiză a Amenințărilor de la Google a descoperit și raportat vulnerabilitatea Apple, pe care cercetătorii de securitate au sugerat că ar putea fi exploatată de actori statali sau furnizori de spyware comercial.​

Deși Microsoft nu și-a actualizat avizul cu detalii suplimentare despre exploatare, desemnarea CISA înseamnă că agențiile civile federale trebuie să trateze acum vulnerabilitatea ca pe o amenințare activă. Agenția a recomandat ca și organizațiile private să revizuiască catalogul KEV și să remedieze vulnerabilitățile listate în infrastructura lor.

Organizațiile care rulează versiuni afectate ale Configuration Manager, inclusiv versiunile 2303, 2309 și 2403, ar trebui să aplice actualizarea de securitate Microsoft imediat, dacă nu au făcut-o deja.

Surse:
https://www.bleepingcomputer.com/news/security/cisa-flags-microsoft-configmgr-rce-flaw-as-exploited-in-attacks/amp/
https://www.sentinelone.com/vulnerability-database/cve-2024-43468/
https://securityaffairs.com/187937/security/u-s-cisa-adds-solarwinds-web-help-desk-notepad-microsoft-configuration-manager-and-apple-devices-flaws-to-its-known-exploited-vulnerabilities-catalog.html
https://www.cvedetails.com/cve/CVE-2024-43468/