📌 Management-Zusammenfassung

🚨 Warum das wichtig ist

Certighost ist gefährlich, weil es die Vertrauensbasis einer Windows-Domäne angreift: zertifikatsbasierte Identität.

Ein erfolgreicher Angriff kann es einem Domänenbenutzer mit niedrigen Rechten ermöglichen, das Zertifikatsregistrierungsverhalten von AD CS zu missbrauchen und möglicherweise ein Zertifikat zu erhalten, das einer Domain-Controller-Identität zugeordnet ist. Falls dies gelingt, kann sich der Angreifer als der Domain Controller authentifizieren und privilegierte Active-Directory-Operationen durchführen.

Das wichtigste daraus resultierende Risiko ist:

Impersonation eines Domain Controllers → DCSync → Offenlegung von krbtgt → Domänenkompromittierungsrisiko auf Golden-Ticket-Niveau

🧠 Technische Grundursache

Der Fehler liegt in einem AD-CS-Enterprise-CA-Registrierungs-Fallback, der als Chase bekannt ist.

Im anfälligen Verhalten:

1. Eine Zertifikatsanforderung kann cdc- und rmd-Attribute enthalten.
2. Die Zertifizierungsstelle folgt bei der Auflösung von Verzeichnisobjekten dem vom Antragsteller bereitgestellten cdc-Ziel.
3. Die Zertifizierungsstelle kann über SMB/LDAP einen vom Angreifer kontrollierten Host kontaktieren.
4. Die Zertifizierungsstelle akzeptiert zurückgegebene Identitätsdaten, ohne zuvor zu überprüfen, ob das Ziel ein echter Domain Controller ist.
5. Das Zertifikats-Identitätsmaterial kann durch vom Angreifer kontrollierte Verzeichnisdaten beeinflusst werden.

Microsoft hat das Problem im Juli 2026 behoben, indem Validierungslogik hinzugefügt wurde, die prüft, ob das angegebene Chase-Ziel ein legitimer Domain Controller ist, bevor der Vorgang fortgesetzt wird.

🧭 Angriffspfad-Diagramm

flowchart TD
    A[Low-privileged domain account] --> B[Create or reuse machine account]
    B --> C[Submit AD CS enrollment request]
    C --> D[Request includes cdc and rmd attributes]
    D --> E[Vulnerable CA follows requester-controlled chase target]
    E --> F[CA contacts attacker-controlled SMB/LDAP host]
    F --> G[Attacker supplies Domain Controller identity data]
    G --> H[CA issues certificate identity material]
    H --> I[PKINIT authentication as target machine]
    I --> J{Target is Domain Controller?}
    J -->|Yes| K[DCSync / privileged AD operations]
    K --> L[krbtgt exposure / domain compromise risk]
    J -->|No| M[Machine identity impersonation]

🧩 Betroffene Plattformen und behobene Builds

Operative Priorität: Zuerst AD-CS- / Enterprise-CA-Server patchen.

🔥 Threat-Intelligence-Zusammenfassung

🕒 Untersuchungs-Timeline

timeline
    title CVE-2026-54121 Certighost Timeline
    2026-05-14 : Vulnerability reported to Microsoft
    2026-05-22 : Case confirmed per researcher timeline
    2026-06-11 : CVE reserved
    2026-07-14 : Microsoft patch and advisory released
    2026-07-24 : Public Certighost analysis and PoC released
    2026-07-27 : EPSS record date: 0.010520
    2026-07-28 : CTI report finalized

🛡️ Verteidigungspriorität

Sofortmaßnahmen

• Alle AD-CS- / Enterprise-CA-Server inventarisieren.
• Microsoft-Sicherheitsupdates vom Juli 2026 einspielen.
• Behobene OS-Build-Stände verifizieren.
• Verhalten der gepatchten Zertifizierungsstelle nach Möglichkeit bestätigen.
• AD-CS-Überwachung aktivieren und validieren.
• Historische Zertifikatsanforderungen nach cdc- und rmd-Attributen durchsuchen.
• Anomalien bei der Ausstellung von Domain-Controller-Zertifikaten prüfen.
• Ausgehendes SMB/LDAP der Zertifizierungsstelle zu Hosts, die keine Domain Controller sind, überwachen.
• Verdächtige Erstellung von Computerkonten untersuchen.
• DCSync-Indikatoren und das Risiko der krbtgt-Offenlegung prüfen.

Temporäre Abschwächung, falls das Patchen verzögert wird

Den anfälligen Chase-Fallback deaktivieren, indem EDITF_ENABLECHASECLIENTDC nur nach Tests gelöscht wird. Dies kann legitime Registrierungsworkflows beeinträchtigen. Das Update vom Juli 2026 bleibt die empfohlene Abhilfe.

🔎 Hochwertige Erkennungsideen

AD-CS-Anforderung / -Ausstellung

Event ID 4886 or 4887
AND request attributes contain:
  cdc
  rmd

Netzwerk-Ausgang der CA

Process: certsrv.exe
Outbound port: 389 or 445
Destination: non-Domain-Controller host

Erstellung von Computerkonten

Event ID 4741
Computer account created by standard user
Followed by suspicious certificate issuance

DCSync-Folgeaktivität

Event ID 4662
Replication GUIDs:
  1131f6aa-9c07-11d1-f79f-00c04fc2dcd2
  1131f6ad-9c07-11d1-f79f-00c04fc2dcd2
  89e95b76-444d-4c62-991a-0facbeda640c
Source is not an expected Domain Controller or identity-management system

📊 Risikomatrix

✅ Verifizierte Indikatoren und Lücken

📚 Vollständiger Bericht

Der vollständige Enterprise-CTI-Bericht ist hier verfügbar:

➡️ CVE-2026-54121_CTI_Report.md

Er enthält:

• Offizielle CVE-Identifizierung
• CPE-Validierung
• Zuordnung betroffener Produkte und behobener Builds
• Grundursachenanalyse
• Bewertung der Exploit-Reife
• Threat-Intelligence-Prüfung
• IOC-Tabelle
• MITRE-ATT&CK-Zuordnung
• Sigma-Ideen
• Wazuh-Anleitung
• Splunk-SPL
• Microsoft-Sentinel-KQL
• Snort-/Suricata-Konzepte
• Anleitung zu Abschwächung und Incident Response
• Risikobewertung
• Tabelle zur Herkunft der Nachweise
• Annahmen und Einschränkungen

🔗 Primäre Referenzen

• Microsoft Security Update Guide: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-54121
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-54121
• CVE Services API: https://cveawg.mitre.org/api/cve/CVE-2026-54121
• CISA KEV Catalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-54121
• Certighost Technical Write-up: https://gist.github.com/H0j3n/a5ef2609b5f2944ac2390a191a534c26
• Public PoC Repository: https://github.com/aniqfakhrul/CVE-2026-54121
• Dataminr Intel Brief: https://www.dataminr.com/resources/intel-brief/certighost-cve-2026-54121/
• FIRST EPSS API: https://api.first.org/data/v1/epss?cve=CVE-2026-54121
• Tenable CVE Entry: https://www.tenable.com/cve/CVE-2026-54121