L’une des vulnérabilités d’une chaîne d’exploitation SCCM récemment révélée a été corrigée par Microsoft, mais le correctif ne ferme apparemment pas la voie au contrôle complet sur le serveur du site Configuration Manager.
Les chercheurs de XM Cyber ont découvert qu’un utilisateur de domaine standard sans privilèges Microsoft SCCM peut enchaîner plusieurs failles pour atteindre l’exécution de code à distance, bien que l’attaque nécessite un accès réseau à l’environnement SCCM.
Les entreprises utilisent Microsoft System Center Configuration Manager (SCCM) pour déployer des systèmes d’exploitation, gérer les correctifs, distribuer des logiciels et surveiller la conformité sur de grandes flottes Windows. L’attaque de XM Cyber peut passer d’un compte de domaine ordinaire à l’exécution de code en tant que « NT AUTHORITYSYSTEM » sur le serveur du site principal.
La chaîne d’attaque révélée combine quatre faiblesses, dont une autorisation rompue dans la fonctionnalité de téléchargement d’AdminService, une faille de cheminement appelée « Cabslip », une faible validation de signature de code qui pourrait être trompée avec un certificat commercial de 58 $ et un chemin de chargement de DLL non signé dans le service SMS Executive.
Microsoft a corrigé la faille d’autorisation initiale, identifiée comme CVE-2026-47301, en juillet, mais Baso a déclaré que les maillons restants de la chaîne ne devraient pas être entièrement résolus avant ConfigMgr 2609, prévu pour octobre.
Le patch n’a pas été corrigé
Le point d’ancrage initial vient de l’API AdminService de SCCM. Son point de terminaison normal de téléchargement d’extension vérifie si un utilisateur dispose de l’autorisation requise, mais pas son homologue de « téléchargement en bloc ». Cela permet à un utilisateur Active Directory authentifié de soumettre une archive CAB malveillante sans privilèges administratifs SCCM.
Le correctif de juillet de Microsoft bloque cette route pour les utilisateurs de domaine standard. Cependant, la chaîne en aval reste accessible par un autre chemin. Les utilisateurs auxquels est attribué le rôle d’administrateur d’opérations intégré ou un rôle personnalisé avec l’autorisation Créer sur « SMS_ConsoleExtensionData » peuvent toujours déclencher la même séquence.
Mais il y a ici une nuance importante. XM Cyber a déclaré qu’il pensait qu’il était peu probable que les organisations soient exposées via la voie de l’administrateur des opérations, car il s’agit déjà d’un rôle hautement privilégié.
Une fois que le CAB atteint le serveur, Cabslip permet aux fichiers de s’échapper du répertoire d’extraction temporaire prévu et d’être écrits ailleurs sur le système de fichiers. L’attaquant peut utiliser cette capacité d’écriture de fichier arbitraire pour remplacer « adsource.dll », une bibliothèque secondaire chargée par le service SMS Executive au niveau SYSTÈME sans sa propre vérification de signature.
Lorsque le service charge ensuite la DLL, l’attaquant obtient l’exécution du code en tant que SYSTEM.
Un certificat de 58 $ peut franchir la limite de confiance
La chaîne devient particulièrement remarquable car la validation de signature de SCCM n’établit pas que le certificat de signature appartient à Microsoft ou à l’organisation cible. Il vérifie que la signature est structurellement valide et non expirée, tandis que les contrôles de révocation sont désactivés.
Cela signifie qu’un attaquant n’a pas besoin d’un certificat d’entreprise. XM Cyber a déclaré que l’attaque dépend d’un certificat de signature de code et peut également abuser des certificats divulgués en ligne. Pour ses propres recherches, Baso a utilisé un certificat de développeur Open Source Certum qui coûte environ 58 $.
Pour les défenseurs, XM Cyber recommande de restreindre l’accès réseau à l’API AdminService et d’auditer les affectations SCCM RBAC, en particulier les comptes avec le rôle d’administrateur des opérations ou des autorisations de création équivalentes.
Les équipes doivent également surveiller le « AdminService.log » du serveur de site pour une « System.IO.DirectoryNotFoundException » suivie d’une réponse HTTP 500, un modèle qui peut indiquer que la traversée du chemin a été déclenchée, a ajouté XM Cyber.
Des modifications inattendues apportées à adsource.dll dans le répertoire d’installation de Configuration Manager peuvent fournir un autre signal de détection.
