👻 CVE-2026-54121 — CertiGhost

Rechteausweitung in Active Directory Certificate Services (AD CS)

👋 Übersicht

CVE-2026-54121 („Certighost") ist eine Schwachstelle mit hohem Schweregrad zur Rechteausweitung, die Microsoft Active Directory Certificate Services (AD CS) betrifft.

Die Schwachstelle ermöglicht es einem authentifizierten Domänenbenutzer, das Zertifikatsregistrierungsverhalten auszunutzen und ein Zertifikat zu erhalten, mit dem er sich als Domänencontroller ausgeben kann, was potenziell zur vollständigen Kompromittierung von Active Directory führen kann.

⚠️ Dieses Repository ist ausschließlich für autorisierte Sicherheitsforschung, Detection Engineering und defensive Tests bestimmt.

✨ Funktionen

• 📖 Technische Erklärung der Schwachstelle
• 🔍 Erkennungshinweise
• 🛡️ Empfehlungen für Gegenmaßnahmen
• 🧪 Indikatoren für eine Kompromittierung (IoCs)
• 📚 Referenzen
• ⚡ Defensive Forschung

📊 Informationen zur Schwachstelle

🎯 Mögliche Auswirkungen

Eine erfolgreiche Ausnutzung kann es einem Angreifer ermöglichen:

• 👤 Sich als Domänencontroller auszugeben
• 🔑 Privilegierte Authentifizierungszertifikate zu erlangen
• ⚡ PKINIT-Authentifizierung durchzuführen
• 📂 DCSync-Angriffe auszuführen
• 🔓 Active-Directory-Geheimnisse auszulesen
• 👑 Eine Kompromittierung auf Domänenadministrator-Ebene zu erreichen

⚙️ Angriffsablauf

Authenticated User
        │
        ▼
AD CS Certificate Enrollment
        │
        ▼
Authorization Bypass
        │
        ▼
Issue DC Certificate
        │
        ▼
PKINIT Authentication
        │
        ▼
DCSync
        │
        ▼
Full Active Directory Compromise

🔍 Erkennung

Überwachen Sie auf:

• Unerwartete Zertifikatsausstellungen
• Zertifikate, die an Domänencontroller ausgestellt wurden
• PKINIT-Authentifizierungsanomalien
• DCSync-Aktivitäten
• Ungewöhnliche Kerberos-Ereignisse
• CA-Registrierungsspitzen

🛡️ Gegenmaßnahmen

• Wenden Sie die Sicherheitsupdates von Microsoft sofort an.
• Prüfen Sie alle AD-CS-Vorlagen.
• Beschränken Sie die Registrierungsberechtigungen.
• Überprüfen Sie die CA-Konfiguration.
• Überwachen Sie die Ereignisprotokolle.
• Überwachen Sie die Zertifikatsausstellung.
• Aktivieren Sie die kontinuierliche AD-Überwachung.

📁 Repository-Struktur

CVE-2026-54121/
│
├── README.md
├── LICENSE
├── banner.png
├── docs/
│   ├── advisory.md
│   ├── detection.md
│   └── mitigation.md
├── iocs/
│   └── indicators.md
└── images/

📚 Referenzen

• Microsoft-Sicherheitsempfehlung
• NIST NVD
• Microsoft MSRC
• Dokumentation zu Active Directory Certificate Services

⚠️ Haftungsausschluss

Dieses Repository wird ausschließlich zu Bildungszwecken, für defensive Zwecke und für autorisierte Sicherheitsforschung bereitgestellt.

Die Betreiber sind nicht verantwortlich für Missbrauch oder unbefugte Aktivitäten, die unter Verwendung der hierin enthaltenen Informationen durchgeführt werden.