CVE-2025-59501
Mis à jour :
Contournement d’authentification dans Microsoft Configuration Manager
Une vulnérabilité critique, identifiée sous le code CVE-2025-59501, affecte Microsoft Configuration Manager, permettant à un attaquant autorisé d’usurper une identité sur un réseau adjacent. L’exploitation repose sur la manipulation du User Principal Name (UPN) d’un compte Microsoft Entra ID existant ou la création d’un nouveau compte, afin de se faire passer pour un utilisateur Active Directory dont l’UPN n’est pas synchronisé avec Entra ID.
Une exploitation réussie pourrait conférer à l’attaquant un contrôle administratif non autorisé sur Microsoft Configuration Manager ainsi que sur ses clients gérés. Les versions concernées incluent Configuration Manager 2403, 2409 et 2503.
La gravité de cette faille est soulignée par un score CVSS 3.1 de 4.8 (CVSS:3.1/AV:A/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N), indiquant une attaque accessible à un réseau adjacent avec un effort d’exploitation élevé mais des privilèges bas, et ayant un impact important sur la confidentialité des données.
Une recommandation clé issue des analyses suggère l’exigence d’une correspondance des identifiants de sécurité (SID) sur site (on-prem SID matching) pour renforcer la sécurité.