24. jūlijā pētnieki H0j3n un Aniq Fakhrul publicēja strādājošu ekspluatācijas kodu Active Directory sertifikātu pakalpojumu (AD CS) ievainojamībai, kas ļauj parastam domēna lietotājam saņemt sertifikātu domēna kontrollera vārdā. Microsoft caurumu aizvēra desmit dienas agrāk, 14. jūlija ielāpu paketē. Tas reģistrēts kā CVE-2026-54121 ar CVSS vērtējumu 8,8.
Pētnieki caurumu nosauca par Certighost. Uzbrukumam pietiek ar tīkla piekļuvi un parastu domēna kontu. Administratora tiesības nav vajadzīgas. Upura darbība nav vajadzīga. Galarezultāts ir krbtgt konta noslēpums, tātad pilna kontrole pār domēnu.
Kas notiek pieprasījuma laikā
AD CS sertifikātu reģistrācijas plūsmā ir atkāpšanās mehānisms ar nosaukumu chase. Sertifikācijas iestāde to izmanto brīdī, kad tai jāsavāc identitātes dati par direktorija objektu, kurš uzrādīts pieprasījumā. Pētnieku aprakstā parādīts, ka pieprasījumam var pievienot atribūtus cdc un rmd. Pirmais norāda resursdatoru, no kura ņemt datus. Otrais norāda principālu, kura identitāte tiek prasīta.
Chase pats par sevi ir paredzēta funkcija. Tā palīdz sertifikācijas iestādei tikt pie identitātes datiem gadījumos, kad pieprasījumā minētā objekta informācija nav pieejama uz vietas. Problēma ir tajā, ka iestāde pieņēma pieprasītāja norādīto adresi kā ticamu.
Uzbrucējs kā resursdatoru norāda savu mašīnu, uz kuras darbojas LDAP un LSA pakalpojumi. Sertifikācijas iestāde vēršas pie tās un saņem atbildi, kurā ierakstīta domēna kontrollera identitāte. Atbildes izcelsme netiek pārbaudīta. Sertifikāts tiek izsniegts tieši ar to identitāti, kuru padevis uzbrucējs.
«Certighost ir AD CS ievainojamība, kas ļāva zemu privilēģiju domēna lietotājam uzdoties par domēna kontrolleri un pārņemt domēnu testētajā AD CS konfigurācijā,» rakstīts pētnieku publicētajā aprakstā.
Ar sertifikātu, kas izdots domēna kontrollera vārdā, uzbrucējs autentificējas pret Kerberos un saņem biļeti ar kontrollera tiesībām. Tālāk seko DCSync pieprasījums, kas izvelk krbtgt konta paroles jaucējvērtību. Ar to var izgatavot Kerberos biļetes jebkuram domēna lietotājam uz nenoteiktu laiku. Krbtgt paroles nomaiņa prasa divas secīgas rotācijas ar replikācijas pauzi starp tām, tāpēc atgūšanās no šāda uzbrukuma reti aizņem mazāk par dienu.
Kādā konfigurācijā tas strādā
Pētnieku aprakstā uzskaitīti apstākļi, kas vajadzīgi ekspluatācijai:
- uzņēmuma līmeņa sertifikācijas iestāde ar standarta Machine veidni;
- noklusējuma
ms-DS-MachineAccountQuotavērtība, kas vienam lietotājam ļauj izveidot desmit datoru kontus; - parasta domēna lietotāja konts;
- resursdators uzbrucēja kontrolē, uz kura var palaist LDAP un LSA pakalpojumus.
Machine veidne tiek izvietota kopā ar sertifikācijas iestādi. Kvotas vērtība 10 stāv spēkā kopš Windows 2000. Abus iestatījumus administratori maina reti, tāpēc prasību saraksts izskatās garš tikai uz papīra.
Ne pirmā reize ar AD CS
Sertifikātu pakalpojumi ir uzbrucēju mērķis kopš 2021. gada jūnija, kad SpecterOps pētnieki Vils Šrēders un Lī Kristensens publicēja darbu «Certified Pre-Owned» ar astoņām nepareizas konfigurācijas kategorijām no ESC1 līdz ESC8. Gadu vēlāk Olivers Ljaks atrada Certifried jeb CVE-2022-26923, kur tā pati datoru kontu kvota ļāva mainīt dNSHostName atribūtu un saņemt sertifikātu domēna kontrollera vietā. Microsoft toreiz atbildēja ar KB5014754 un stingro sertifikātu kartēšanu.
Certighost izmanto citu ceļu uz to pašu galamērķi. Kartēšanas režīms te nepalīdz, jo sertifikācijas iestāde pati saņem sabojātus identitātes datus vēl pirms sertifikāta izdošanas.
Kāpēc publiskais kods maina rēķinu
Starp ielāpu un ekspluatācijas koda publiskošanu pagāja desmit dienas. Domēna kontrolleru un sertifikācijas iestāžu atjaunināšana daudzās organizācijās notiek pa apstiprinātiem logiem reizi mēnesī vai retāk, tāpēc daļa AD CS serveru 24. jūlijā vēl gaidīja rindā. Field Effect raksta, ka strādājošs publiskais kods ievērojami samazina piepūli, kas vajadzīga uzbrukuma atkārtošanai.
Otra lieta ir sākumpunkts. Uzbrucējam nevajag serveri, administratora sesiju vai piekļuvi pašai sertifikācijas iestādei. Pietiek ar vienu nozagtu vai izkrāptu darbinieka kontu un vienu mašīnu tajā pašā tīklā. Tas pārvērš parastu pikšķerēšanas incidentu par pilnu domēna pārņemšanu.
Ko darīt tagad
Jūlija atjauninājums pārbauda pieprasījumā uzrādīto cdc resursdatora nosaukumu pret īsto direktoriju, pirms chase turpinās. Ja mērķis nav īsts domēna kontrollera datora objekts, pieprasījums tiek noraidīts. Videi, kur ielāpu vēl nevar uzlikt, pētnieki piedāvā izslēgt chase atkāpšanos:
certutil -setreg policyEditFlags -EDITF_ENABLECHASECLIENTDC
Paši autori to sauc par pagaidu risinājumu. Ieteicamais ceļš ir 14. jūlija ielāps.
Drošības uzņēmums Field Effect iesaka sekot līdzi neparastai datoru kontu izveidei un sertifikātu reģistrācijas pieprasījumiem, kā arī pārskatīt uzņēmuma CA konfigurāciju un reģistrācijas tiesības. Ja kāds konts izveido datora objektu un dažas minūtes vēlāk pieprasa sertifikātu ar Machine veidni, tas ir tieši šī uzbrukuma paraksts.
Ievainojamība tika ziņota Microsoft drošības centram 14. maijā. Apstiprinājums pienāca 22. maijā, ielāps 14. jūlijā, publiskais apraksts kopā ar PoC kodu GitHub 24. jūlijā. Uz publiskošanas dienu ziņojumu par Certighost izmantošanu reālos uzbrukumos nebija. Microsoft 14. jūlija paketē kopumā aizvēra 570 caurumus. Trīs no tiem bija nulles dienas. Certighost to vidū nebija.
Komentāri
Šim rakstam vēl nav komentāru. Esi pirmais, kurš dalās ar savu viedokli.