# Cadena de ataque en SCCM de Microsoft: de usuario común a control total con un certificado de US$58

XM Cyber demostró que cuatro debilidades encadenadas permiten escalar desde una cuenta de dominio sin privilegios hasta ejecución de código como SYSTEM en el servidor primario del sitio.

Investigadores de XM Cyber revelaron una cadena de ataque que permite a un usuario de dominio estándar — sin ningún privilegio administrativo en Microsoft System Center Configuration Manager (SCCM) — alcanzar ejecución remota de código en el servidor del sitio primario. El ataque combina cuatro debilidades: autorización rota en la funcionalidad de carga de AdminService, una falla de path-traversal bautizada CabSlip, validación débil de firma de código que acepta cualquier certificado comercial válido, y carga de DLL sin verificación de firma en el servicio SMS Executive. Microsoft parchó en julio la primera debilidad de la cadena, asignándole CVE-2026-47301, pero según Omri Baso de XM Cyber, los eslabones restantes no se espera que queden completamente cerrados hasta la versión ConfigMgr 2609, planeada para octubre.

## Cómo un usuario común puede iniciar la cadena sin permisos de SCCM

El punto de entrada es la API AdminService de SCCM, que expone dos rutas para cargar extensiones de consola. El endpoint normal verifica que el usuario tenga los permisos necesarios antes de aceptar un archivo CAB. Su contraparte de carga en fragmentos (chunked-upload) no realiza esa verificación. Esa omisión permitía a cualquier usuario autenticado en Active Directory enviar un archivo CAB malicioso al servidor sin necesidad de privilegios administrativos en SCCM.

El parche de julio bloqueó esa ruta específica para usuarios de dominio estándar. Sin embargo, la cadena descendente sigue siendo alcanzable a través de usuarios que tengan asignado el rol integrado Operations Administrator, o cualquier rol personalizado con permiso de Create sobre el objeto SMS_ConsoleExtensionData. XM Cyber aclaró que considera poco probable que las organizaciones estén expuestas por esa vía alternativa, dado que Operations Administrator ya es un rol altamente privilegiado — el riesgo real estaba en la ruta sin privilegios que Microsoft cerró en julio.

## CabSlip: del archivo temporal a cualquier ubicación del sistema de archivos

Una vez que el archivo CAB llega al servidor, entra en juego CabSlip, la falla de path-traversal. Durante la extracción del archivo comprimido, SCCM no valida correctamente las rutas de destino de los archivos contenidos. Eso permite que un atacante incluya en el CAB rutas relativas con secuencias de directorio padre (../) que escapan del directorio temporal de extracción y escriben archivos en ubicaciones arbitrarias del sistema de archivos.

El objetivo específico de XM Cyber fue adsource.dll, una biblioteca secundaria cargada por el servicio SMS Executive, que se ejecuta con privilegios de NT AUTHORITY\SYSTEM. Ese servicio no verifica la firma digital de adsource.dll antes de cargarlo. Al reemplazar esa DLL con código malicioso mediante CabSlip, el atacante logra que el servicio ejecute su código con los máximos privilegios del sistema cuando el servicio carga la biblioteca en su próximo ciclo.

## Por qué un certificado de US$58 cruza la barrera de confianza de SCCM

La validación de firma de código de SCCM verifica que la firma digital del archivo CAB sea estructuralmente válida y que el certificado no haya expirado. No verifica que el certificado pertenezca a Microsoft ni a la organización objetivo. Tampoco consulta listas de revocación de certificados. Esa validación débil significa que cualquier certificado de firma de código comercial válido — incluso uno emitido a un tercero sin relación con la organización atacada — es aceptado como legítimo.

Para demostrar el ataque, Baso utilizó un Certum Open Source Developer Certificate que costó aproximadamente US$58. XM Cyber señaló que el ataque también puede aprovechar certificados de firma de código filtrados en línea, un recurso que los atacantes han explotado en campañas previas de malware. La ausencia de verificación de identidad del titular del certificado convierte la firma de código en un control de seguridad puramente formal, sin capacidad real de establecer confianza.

## Impacto en flotas corporativas que dependen de SCCM para gestión centralizada

SCCM es la herramienta estándar para desplegar sistemas operativos, gestionar parches, distribuir software y monitorear cumplimiento en flotas Windows de gran escala. Comprometer el servidor del sitio primario significa comprometer todos los clientes gestionados por ese servidor, lo que en la mayoría de las organizaciones equivale a tomar control de todos los activos de la compañía. Baso indicó a CSO que después de que el servidor del sitio es comprometido, todos sus clientes gestionados quedan comprometidos también, lo que usualmente significa tomar control de todos los activos de la empresa.

En América Latina, donde grandes corporaciones y organismos públicos dependen de SCCM para gestionar miles de endpoints distribuidos geográficamente — desde bancos en Brasil y México hasta operadoras de telecomunicaciones en Argentina y Chile —, la cadena de ataque representa un riesgo de movimiento lateral masivo. La exposición es estructural: cualquier organización que haya otorgado acceso de red a la API AdminService desde segmentos internos amplios (práctica común para facilitar la gestión remota) queda expuesta si no aplicó el parche de julio y no tiene controles de red granulares sobre esa API.

## Qué pueden hacer los equipos de defensa mientras llega el parche completo

XM Cyber recomienda restringir el acceso de red a la API AdminService mediante segmentación o firewall de aplicación, limitando las conexiones únicamente a las estaciones de trabajo de administradores autorizados. También sugiere auditar las asignaciones de RBAC de SCCM, particularmente las cuentas con el rol Operations Administrator o permisos de Create sobre SMS_ConsoleExtensionData, para asegurar que solo usuarios que realmente necesitan esos privilegios los tengan.

En términos de detección, los equipos deben monitorear el archivo AdminService.log en el servidor del sitio, buscando el patrón de una excepción System.IO.DirectoryNotFoundException seguida de una respuesta HTTP 500, que puede indicar que se activó el path traversal. Modificaciones inesperadas a adsource.dll en el directorio de instalación de Configuration Manager constituyen otra señal de detección. Microsoft está trabajando en parches para las fallas restantes de la cadena, pero no respondió de inmediato a la solicitud de comentarios de CSO.

## Nuestro análisis

Esta cadena de ataque revela un patrón recurrente en productos de gestión empresarial: la validación de firma de código que no verifica identidad del firmante se convierte en un control de seguridad ilusorio. El mismo patrón apareció en campañas previas que abusaron certificados filtrados de Nvidia y otros fabricantes para firmar malware que pasaba controles de aplicación. La diferencia aquí es que SCCM no requiere un certificado filtrado de alto perfil — cualquier certificado comercial de US$58 es suficiente, lo que reduce drásticamente la barrera de entrada para un atacante.

El parche parcial de julio cierra la ruta de mayor riesgo (usuario sin privilegios), pero deja abierta la ventana para cuentas con permisos intermedios que muchas organizaciones otorgan de manera más amplia de lo necesario. La demora hasta octubre para el parche completo deja un período de exposición prolongado para organizaciones que no puedan implementar controles compensatorios de red. ¿Cuántas otras herramientas de gestión empresarial validan firmas sin verificar quién firmó, confiando en que un certificado válido es suficiente garantía de confianza?