Auf den Punkt: Eine Kette aus vier SCCM-Schwachstellen erlaubt Domain-Nutzern SYSTEM-Rechte auf dem Site Server, wobei nur eine der Luecken bisher gepatcht wurde.
Sicherheitsforscher von XM Cyber haben eine Angriffskette gegen Microsoft System Center Configuration Manager (SCCM) demonstriert, mit der ein gewoehnlicher Domain-Nutzer ohne SCCM-Rechte Code-Ausfuehrung als NT AUTHORITYSYSTEM erreicht. Microsoft hat im Juli einen Teil der Luecken geschlossen, die vollstaendige Behebung ist erst mit ConfigMgr 2609 im Oktober vorgesehen.
Unternehmen setzen Microsoft SCCM ein, um Betriebssysteme zu verteilen, Patches zu verwalten, Software auszurollen und die Compliance in grossen Windows-Umgebungen zu ueberwachen. XM Cyber zufolge kann ein Angreifer mit einem einfachen Domain-Konto und Netzwerkzugriff auf die SCCM-Umgebung eine Kette aus vier Schwachstellen kombinieren, um Code-Ausfuehrung mit SYSTEM-Rechten auf dem primaeren Site Server zu erlangen. Omri Baso von XM Cyber erklaerte gegenueber CSO, dass mit der Kompromittierung des Site Servers auch alle verwalteten Clients betroffen seien, was in der Regel die Uebernahme aller Unternehmens-Assets bedeute.
Ausgangspunkt ist eine fehlerhafte Autorisierungspruefung in der AdminService-API von SCCM: Waehrend der normale Extension-Upload-Endpunkt die erforderlichen Berechtigungen prueft, tut dies das zugehoerige „Chunked-Upload“-Pendant nicht. Dadurch kann ein authentifizierter Active-Directory-Nutzer ohne SCCM-Administratorrechte ein bösartiges CAB-Archiv einreichen. Diese Luecke wird als CVE-2026-47301 verfolgt und wurde von Microsoft im Juli geschlossen. Der Downstream-Pfad der Angriffskette bleibt laut XM Cyber jedoch weiterhin erreichbar – etwa ueber Nutzer mit der integrierten Rolle „Operations Administrator“ oder ueber eine benutzerdefinierte Rolle mit Create-Berechtigung fuer „SMS_ConsoleExtensionData“. XM Cyber schaetzt das dadurch entstehende Restrisiko als begrenzt ein, da die Operations-Administrator-Rolle bereits hochprivilegiert ist.
Sobald das CAB-Archiv den Server erreicht, ermoeglicht eine als „CabSlip“ bezeichnete Path-Traversal-Schwachstelle, Dateien aus dem vorgesehenen temporaeren Extraktionsverzeichnis herauszuschreiben. Diese beliebige Schreibmoeglichkeit nutzt ein Angreifer, um die Bibliothek „adsource.dll“ zu ersetzen, die vom SYSTEM-Dienst SMS Executive ohne eigene Signaturpruefung nachgeladen wird. Beim naechsten Laden der DLL erhaelt der Angreifer Code-Ausfuehrung als SYSTEM. Besonders relevant: Die Signaturvalidierung von SCCM prueft lediglich, ob eine Signatur strukturell gueltig und nicht abgelaufen ist – nicht jedoch, ob das Zertifikat tatsaechlich von Microsoft oder der Zielorganisation stammt, und Revocation-Checks sind deaktiviert. Fuer seine Forschung nutzte Baso ein Certum Open Source Developer Certificate im Wert von rund 58 US-Dollar; auch geleakte Zertifikate koennten fuer den Angriff missbraucht werden.
Fuer CISOs empfiehlt XM Cyber, den Netzwerkzugriff auf die AdminService-API einzuschraenken und die RBAC-Zuweisungen in SCCM zu auditieren, insbesondere Konten mit der Rolle Operations Administrator oder aequivalenten Create-Berechtigungen. Als Erkennungsmerkmal sollten Teams das Log „AdminService.log“ auf dem Site Server auf die Fehlermeldung „System.IO.DirectoryNotFoundException“ gefolgt von einer HTTP-500-Antwort ueberwachen, was auf einen ausgeloesten Path-Traversal-Versuch hindeuten kann. Unerwartete Aenderungen an der Datei adsource.dll im Installationsverzeichnis von Configuration Manager liefern ein weiteres Detektionssignal. Microsoft arbeitet laut Berichten an Patches fuer die verbleibenden Schwachstellen; eine Stellungnahme auf Anfrage von CSO stand zunaechst aus.
Quelle: www.csoonline.com · Erschienen 13. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.