Η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ (CISA) εξέδωσε επείγουσα προειδοποίηση σχετικά με μια κρίσιμη ευπάθεια SQL injection στον Microsoft Configuration Manager (SCCM). Το συγκεκριμένο κενό ασφαλείας, που καταγράφεται ως CVE-2024-43468, επιτρέπει σε μη εξουσιοδοτημένους επιτιθέμενους να εκτελούν κακόβουλες εντολές σε διακομιστές και βάσεις δεδομένων.
Η ευπάθεια προστέθηκε στον κατάλογο γνωστών εκμεταλλευόμενων ευπαθειών (KEV) της CISA στις 12 Φεβρουαρίου 2026. Οι ομοσπονδιακές υπηρεσίες οφείλουν να εφαρμόσουν τις απαραίτητες διορθώσεις μέχρι τις 5 Μαρτίου 2026, διαφορετικά θα αντιμετωπίσουν ομοσπονδιακές εντολές συμμόρφωσης.
Τρόπος εκμετάλλευσης και κίνδυνοι για τα δίκτυα
Ο Microsoft Configuration Manager αποτελεί βασικό εργαλείο για τις ομάδες πληροφορικής, καθώς βοηθά στη διαχείριση συσκευών, την εγκατάσταση λογισμικού και τη διαχείριση ενημερώσεων σε δίκτυα Windows. Το σφάλμα εντοπίζεται στις υπηρεσίες της κονσόλας του, όπου η ανεπαρκής εξυγίανση των δεδομένων εισόδου μπορεί να οδηγήσει σε επιθέσεις SQL injection.
Οι επιτιθέμενοι δημιουργούν ειδικά αιτήματα HTTP προς τον διακομιστή SCCM, τα οποία παραπλανούν το σύστημα ώστε να εκτελέσει αυθαίρετα ερωτήματα SQL στη βάση δεδομένων SQL Server στο παρασκήνιο. Μέσω αυτής της μεθόδου, οι χάκερ μπορούν να υποκλέψουν ευαίσθητα δεδομένα, να αναβαθμίσουν τα προνόμιά τους ή να εκτελέσουν εντολές στο λειτουργικό σύστημα, ανοίγοντας τον δρόμο για επιθέσεις ransomware, κλοπή δεδομένων ή πλήρη παραβίαση του δικτύου.
Ενεργή εκμετάλλευση και τεχνική αξιολόγηση
Η CISA αναφέρει ενεργή εκμετάλλευση της ευπάθειας, αν και οι λεπτομέρειες για συγκεκριμένες εκστρατείες παραμένουν άγνωστες. Οι ομάδες ransomware στοχεύουν συχνά εργαλεία διαχείρισης όπως το SCCM για να επιτύχουν γρήγορη πλευρική μετακίνηση εντός των δικτύων.
Αν και δεν έχει δημοσιευθεί ακόμη η ακριβής βαθμολογία CVSS, τέτοιου είδους σφάλματα SQL injection (που συνδέονται με το CWE-89) συνήθως βαθμολογούνται με 8.0+ λόγω της πιθανότητας απομακρυσμένης εκτέλεσης κώδικα. Η Microsoft κυκλοφόρησε διορθώσεις ως μέρος της ενημέρωσης «Patch Tuesday» του Νοεμβρίου 2024. Η ευπάθεια επηρεάζει την έκδοση SCCM 2303 και παλαιότερες, ενώ συνιστάται η αναβάθμιση στην έκδοση 2311 ή μεταγενέστερη.
Βήματα αντιμετώπισης και θωράκισης
Οι οργανισμοί θα πρέπει να προβούν σε άμεσες ενέργειες για τη διασφάλιση των υποδομών τους:
- Άμεση σάρωση περιβάλλοντος με εργαλεία όπως το Microsoft Defender ή το SQL Server Management Studio για τον εντοπισμό ανώμαλων ερωτημάτων.
- Γρήγορη εγκατάσταση των ενημερώσεων από τον Κατάλογο Ενημερώσεων της Microsoft, με προηγούμενη δοκιμή σε περιβάλλον staging.
- Περιορισμός της εισερχόμενης κίνησης στις θύρες του SCCM (όπως οι 80/443 και 1433) από μη έμπιστες διευθύνσεις IP μέσω τείχους προστασίας.
- Ενεργοποίηση προστασίας SQL injection στο IIS και χρήση λογαριασμών βάσης δεδομένων με τα ελάχιστα απαραίτητα προνόμια.
Σε περίπτωση που η εγκατάσταση των διορθώσεων δεν είναι εφικτή, η CISA συμβουλεύει τη διακοπή της χρήσης του προϊόντος. Είναι απαραίτητη η αναζήτηση σημαδιών παραβίασης, όπως ασυνήθιστα αρχεία καταγραφής SQL, αποτυχημένες προσπάθειες ταυτοποίησης ή δημιουργία νέων λογαριασμών διαχειριστή.