Microsoft Configuration Manager Remote Code Execution Vulnerability

Falha de SQL injection (CWE-89) no Microsoft Configuration Manager que um atacante não autenticado pode explorar remotamente enviando requisições malformadas ao ambiente alvo, resultando em execução de comandos no servidor e/ou no banco de dados subjacente. A Microsoft classifica a CVE como 'Remote Code Execution', mas a causa raiz catalogada pela CISA é injeção SQL — a RCE é a consequência da exploração, não o mecanismo primário. Está no catálogo KEV da CISA com exploração confirmada e existe PoC pública, o que eleva a urgência mesmo sem CVSS acima de 9.8 ser incomum para produtos de gestão de infraestrutura crítica corporativa.

A vulnerabilidade reside em como o Configuration Manager processa determinadas requisições recebidas pelo componente de gerenciamento (a documentação disponível não especifica qual componente exato — site server, MP, SMS Provider ou console). O CWE associado (CWE-89, SQL Injection) indica que dados de entrada controlados externamente são incorporados em consultas SQL sem sanitização ou parametrização adequada, permitindo que o atacante altere a lógica da query.

O vetor CVSS (AV:N/AC:L/PR:N/UI:N) indica exploração remota, sem necessidade de privilégios, sem interação do usuário e com baixa complexidade de ataque — ou seja, o atacante não precisa de conta válida no domínio nem de engenharia social. Isso é consistente com a descrição da CISA: 'um atacante não autenticado pode explorar esta vulnerabilidade enviando requisições especialmente criadas ao ambiente alvo'.

O impacto declarado (C:H/I:H/A:H) sugere que a exploração da SQLi permite não só extração/alteração de dados no banco, mas também execução de comandos no nível do sistema operacional — típico de cenários onde o SQL Server subjacente tem xp_cmdshell habilitado, contas de serviço com privilégios elevados, ou onde a injeção permite escrita de arquivos que são posteriormente executados. Não há, nas fontes disponíveis, detalhe público sobre qual parâmetro, endpoint ou stored procedure específica é vulnerável — informação que normalmente só aparece em análises técnicas aprofundadas de terceiros, não localizadas nesta pesquisa.

A falta de detalhamento técnico público granular (qual componente, qual query, qual parâmetro) é uma lacuna real: sem essa informação, defensores dependem quase inteiramente da aplicação do patch e de detecção comportamental genérica de SQLi.

O pré-requisito prático mais importante — e que a nota curta do MSRC não deixa claro — é que o atacante precisa de acesso de rede ao componente vulnerável do Configuration Manager (tipicamente exposto dentro da rede corporativa, e não necessariamente na internet pública). Ambientes onde o Configuration Manager está segmentado e não acessível a partir de redes não confiáveis reduzem drasticamente a superfície de exposição real, independentemente do CVSS 9.8.

A CISA confirma exploração ativa ao incluir a CVE no catálogo KEV, e registra existência de PoC pública, mas marca como 'Unknown' se há uso em campanhas de ransomware. Isso indica exploração documentada, mas não necessariamente em escala massiva ou automatizada — o padrão de uso conhecido não foi detalhado nas fontes disponíveis.

O resultado final da exploração bem-sucedida, segundo a CISA, é execução de comandos no servidor e/ou no banco de dados subjacente — potencialmente comprometimento total do site server do Configuration Manager, que tipicamente tem privilégios administrativos sobre toda a frota de endpoints gerenciados. Isso torna a falha crítica em ambientes onde o Configuration Manager é usado para distribuição de software e políticas em escala: comprometer o site server pode significar comprometer toda a base de máquinas gerenciadas.

A ação recomendada pela CISA é 'aplicar mitigações conforme instruções do fornecedor, seguir orientação da BOD 22-01 para serviços em nuvem, ou descontinuar o uso do produto se mitigações não estiverem disponíveis'. As fontes consultadas não trazem o número exato de versão/build/hotfix corrigido do Configuration Manager publicado pela Microsoft — essa informação deve ser obtida diretamente no MSRC Update Guide (link nas referências) antes de qualquer decisão de patch, para evitar aplicar correção incorreta.

Como controle compensatório imediato, caso o patch não possa ser aplicado de imediato: restringir o acesso de rede aos componentes do Configuration Manager expostos (management point, site server, SMS Provider) apenas a hosts e segmentos que realmente precisam se comunicar com eles, e monitorar/registrar tráfego para esses componentes. Isso reduz a superfície de ataque de uma falha 'sem autenticação, sem interação do usuário', mas não elimina o risco se o atacante já tiver posição na rede interna.

Não existe mitigação equivalente a 'desabilitar SQLi' via WAF genérico sem entender qual endpoint é afetado — como o parâmetro/endpoint vulnerável não foi divulgado publicamente nas fontes disponíveis, regras de WAF construídas por adivinhação têm baixa confiabilidade. O paliativo real e verificável é a atualização oficial; qualquer outra medida deve ser tratada como redução de exposição, não como correção.

Como a natureza da falha é SQL injection (CWE-89) processada por componentes do Configuration Manager, sinais a procurar incluem: erros de banco de dados anômalos nos logs do SQL Server associado ao site database, requisições HTTP/SMB com payloads contendo sintaxe SQL suspeita (aspas simples encadeadas, comentários SQL, UNION SELECT, etc.) direcionadas a endpoints do management point ou SMS Provider, e execução inesperada de processos filhos a partir do serviço do SQL Server (indicativo de exploração via xp_cmdshell ou mecanismo equivalente).

Não há, nas fontes consultadas, uma assinatura de detecção oficial publicada pela Microsoft ou pela CISA para esta CVE especificamente — a ausência de indicadores de comprometimento (IOCs) documentados publicamente é, em si, uma limitação relevante para quem tenta caçar exploração retroativa nos logs.