passtheticket/cve-2024-24409ثغرة تصعيد الامتيازات في ADManager Plus Build < 7210
يُعد دور Modify Computers دورًا محددًا مسبقًا في ADManager لإدارة أجهزة الكمبيوتر. إذا كان لدى مستخدم فني امتياز Modify Computers على جهاز كمبيوتر، فيمكنه تغيير سمات userAccountControl وmsDS-AllowedToDelegateTo لكائن الكمبيوتر. بهذه الطريقة، يمكن للمستخدم الفني تعيين تفويض Kerberos المقيد (Constrained Kerberos Delegation) على أي جهاز كمبيوتر داخل الوحدة التنظيمية التي فُوِّض إليها المستخدم.
على عكس ما يدّعيه ADManager، يمكن للمستخدم الذي يمتلك دور Modify Computers تغيير صلاحيات كائنات الكمبيوتر في Active Directory. يمكن تعيين تفويض Kerberos المقيد لأي خدمة مثل CIFS وLDAP وHOST. بعد ذلك يمكن للمستخدم الوصول إلى هذه الخدمات من خلال إساءة استخدام تفويض Kerberos المقيد. بالإضافة إلى ذلك، يمكن تعيين تفويض Kerberos غير المقيد (Unconstrained Kerberos Delegation) على كائنات الكمبيوتر عن طريق تغيير سمة userAccountControl. عادةً، يمكن فقط للمستخدمين الذين لديهم امتياز SeEnableDelegationPrivilege تعيين تفويض Kerberos المقيد. فقط أعضاء مجموعة BUILTIN\Administrators لديهم هذا الامتياز افتراضيًا. لا يمكن للمستخدم المفوض لوحدة تنظيمية تعيين تفويض Kerberos المقيد حتى لو كان لدى المستخدم حق GenericAll على حساب كمبيوتر، لذلك فإن عملية التفويض في Active Directory لا تمنح هذا الامتياز. ومع ذلك، يمكن للمستخدم الفني استخدام حق SeEnableDelegationPrivilege عبر دور Modify Computers.
مشكلة تخويل في تطبيق ADMP Web: يؤدي تعيين دور Modify Computers المحدد مسبقًا إلى تخويل المستخدم الفني لتعديل السمات المخصصة لأجهزة الكمبيوتر بشكل غير متوقع. على الرغم من أنه يبدو أن هذا الامتياز غير ممنوح في الواجهة، إلا أن خاصية Additional Custom Attribute يتم تعيينها وهذا يؤدي إلى ثغرة التحكم في الوصول المكسور (Broken Access Control).
لا يوجد قيد على تعديل سمات userAccountControl وmsDS-AllowedToDelegateTo لكائنات الكمبيوتر. يقوم تطبيق ADMP بتنفيذ التغييرات بصلاحيات مسؤول المجال (Domain Admin) كما هو مصمم، بحيث إذا تمكنا من تجاوز بعض القيود (مثل تنسيق قيمة السمة)، يتم تطبيق طلباتنا بصلاحيات مسؤول المجال. بهذه الطريقة يمكننا تعديل السمات userAccountControl وmsDS-AllowedToDelegateTo.
يرفع مستخدم فني صلاحياته من مستخدم مجال (Domain User) إلى مسؤول مجال (Domain Admin). يمكن للمستخدم جلب تجزئة حساب krbtgt باستخدام هجوم DCSync بعد تكوين تفويض Kerberos المقيد لخدمة LDAP لوحدة تحكم المجال على جهاز كمبيوتر. كمثال آخر، يمكن للمستخدم تعيين تفويض Kerberos المقيد على CLIENT1$ لخدمة CIFS الخاصة بوحدة تحكم المجال (DC) ثم الوصول إلى خدمة CIFS. ونتيجة لذلك، يُفوض المستخدم لإدارة CLIENT1$ لكنه يمكنه الوصول إلى خدمة CIFS الخاصة بوحدة تحكم المجال منتحلاً صفة مستخدم بشكل غير متوقع.
يمكن للمستخدم المهاجم تنفيذ هجوم DCSync بعد إضافة تفويض Kerberos المقيد لخدمة LDAP مع المتطلبات التالية:
Scenario 1: If the attacker has local admin right over a computer and can manage this computer with the “Modify Computers” role in ADManager Plus
Scenario 2: If the attacker adds a computer to Active Directory (MAQ, delegation) and manage this computer with the “Modify Computers” role
Scenario 3: If the attacker can dump NT hash of a computer account (dumping hash with mimikatz, secretsdump, etc.) and manage this computer with the “Modify Computers” role
تم تنفيذ هذا الإثبات على ADManager Plus Build 7203.
https://github.com/user-attachments/assets/496b3bfd-a95f-4d69-8ee5-53ae0592ebdb
