Microsoft Configuration Manager: SQL-Injection mit Rechteerweiterung
Zusammenfassung
Microsoft Configuration Manager (ConfigMgr) enthält eine SQL-Injection-Schwachstelle (CWE-89), die eine Rechteerweiterung ermöglicht. Ein Angreifer mit einem gültigen Konto mit niedrigen Rechten, der das betroffene Site über das Netzwerk erreichen kann, kann SQL-Befehle einschleusen und höhere Rechte erlangen. Es ist keine Benutzerinteraktion erforderlich. Da ConfigMgr privilegierten Zugriff auf verwaltete Endgeräte hat, könnte ein erfolgreicher Angriff viele Geräte betreffen.
Betroffen
- Microsoft Configuration Manager (Basisversion): vor 5.00.9135.1040
- Microsoft Configuration Manager 2509: vor 5.00.9141.1039
- Microsoft Configuration Manager 2603: vor 5.00.9146.1026
- Microsoft Configuration Manager 2503: betroffener Bereich nicht in den CNA-Daten aufgeführt; im MSRC-Advisory prüfen
Behoben in
- Configuration Manager 2503: Build unbekannt; KB-Link aus dem MSRC-Advisory verwenden
- Configuration Manager 2603: KB38982839 (Security update for the SMS Provider and administration service)
- Configuration Manager 2509 und Basisversion: korrigierte Builds gemäss obiger Auflistung; im MSRC-Advisory bestätigen
Umgehung
Keine Workaround des Herstellers bekannt.
- Allgemeine Härtung (nicht herstellerspezifisch): SQL-Injection-Schutz in IIS aktivieren und Datenbankkonten mit minimalen Rechten verwenden.
Ausnutzung
- CISA SSVC (Vulnrichment): Exploitation none, Automatable no, Technical Impact total
- Zum Zeitpunkt der Aggregator-Daten nicht im CISA-KEV-Katalog aufgeführt
- Kein öffentlicher Proof of Concept bekannt
Unsere Empfehlung
- Alle ConfigMgr-Site-Server sowie Konsolen- und SMS-Provider-Hosts der Versionen 2503, 2509 und 2603 identifizieren
- Korrektur für die eigene Version aus dem MSRC-Advisory einspielen (2603: KB38982839)
- Sicherstellen, dass das Site nicht aus dem Internet erreichbar ist
- Prüfen, welche Konten sich am Site authentifizieren können, und unnötige Zugriffe entfernen
- SQL-Logs auf Auffälligkeiten prüfen
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-88075 msrc.microsoft.com
- Microsoft Learn: KB38982839 (2603 hotfix) learn.microsoft.com
- OpenCVE: CVE-2026-88075 app.opencve.io
- GBHackers: CISA warning on Microsoft Configuration Manager gbhackers.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:15.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.