Microsoft Configuration Manager のSQLインジェクションの脆弱性（CVE-2024-43468）

何が起きた

Microsoft Configuration Manager に、SQL インジェクションの弱点が見つかりました。ログインしていない攻撃者が細工したリクエストを送ると、それが安全でない方法で処理され、サーバーやその裏のデータベースでコマンドを実行できるおそれがあります。ネットワーク経由で、ログイン不要、利用者の操作も不要で悪用できます。Microsoft の勧告ページでは公開時点の悪用は「No」とされていましたが、その後 CISA が実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、影響を受けるのは Configuration Manager 2303、2309、2403 です。社内のパソコンの管理にこの製品を使っている組織が対象です。

何をすればいい

修正の更新は KB29166583 です。修正後のバージョンは、2303 が 5.00.9106、2309 が 5.00.9122、2403 が 5.00.9128 です。Microsoft の公式の案内を確認し、コンソール内の更新（in-console update）で KB29166583 をインストールしてください。

やることチェックリスト

• KB29166583 をコンソール内の更新で入れる
• 2403 は 5.00.9128 以降か確かめる
• サーバーに不審なコマンドの形跡がないか調べる

用語メモ

SQL インジェクション

外から送った文字列が、データベースへの命令（SQL）の一部として実行されてしまう弱点です。

Configuration Manager

会社の多数のパソコンに、ソフトの配布や更新をまとめて行うための Microsoft の管理製品です。