CVE-2022-26923

Wie von Tenable beschrieben: Sicherheitslücke bezüglich der Erhöhung von Berechtigungen bei Active Directory Domain Services

CVSS v3

Basisbewertung: 8.8

Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Schweregrad: Hoch

Zusammenfassung:

CVE-2022-26923 nutzt eine Sicherheitslücke in Microsoft Active Directory Certificate Services (AD CS) aus, um Berechtigungen zu erhöhen.

Zertifikatsvorlagen: AD CS bietet zwei Standardvorlagen für Zertifikatsanfragen: Benutzer und Computer.

Einschränkung der Benutzervorlage: Die Benutzervorlage ist nicht anfällig, da sie den UPN des Benutzers im SAN einbettet, der eindeutig und nicht leicht modifizierbar ist.

Angreifbarkeit der Computervorlage: Die Computervorlage verwendet den DNS-Namen zur Identifikation. Durch Modifikation des DNS-Namens eines neu registrierten Hosts, sodass er einem Domänencontroller entspricht, kann ein Angreifer ein Zertifikat erhalten, das die Identitätsnahme des Domänencontrollers ermöglicht.

Privilegienerweiterung: Diese Identitätsnahme kann genutzt werden, um Berechtigungen zu erhöhen und die Kontrolle über die Active Directory-Domäne zu erlangen.

Eine kleine Geschichte über ADCS und Zertifikate:

Microsoft definiert Active Directory Certificate Services (AD CS) als „…die Serverrolle, die es Ihnen ermöglicht, eine Public-Key-Infrastruktur (PKI) aufzubauen und Ihrem Unternehmen Funktionen für Public-Key-Kryptographie, digitale Zertifikate und digitale Signaturen zur Verfügung zu stellen.“

Ein Zertifikat ist ein digital signiertes Dokument im X.509-Format, das für Verschlüsselung, Nachrichtensignierung und/oder Authentifizierung verwendet wird. Ein Zertifikat enthält typischerweise verschiedene Felder, darunter einige der folgenden:

1. Antragsteller - Der Besitzer des Zertifikats.
2. Öffentlicher Schlüssel - Verbindet den Antragsteller mit einem privat gespeicherten privaten Schlüssel.
3. NotBefore- und NotAfter-Daten - Definieren die Gültigkeitsdauer des Zertifikats.
4. Seriennummer - Eine von der Zertifizierungsstelle (CA) zugewiesene Kennung für das Zertifikat.
5. Aussteller - Identifiziert, wer das Zertifikat ausgestellt hat (üblicherweise eine CA).
6. SubjectAlternativeName - Definiert einen oder mehrere alternative Namen, die der Antragsteller verwenden kann.
7. Basiseinschränkungen - Identifiziert, ob das Zertifikat eine CA oder eine Endentität ist, und ob bei Verwendung des Zertifikats Einschränkungen bestehen.
8. Erweiterte Schlüsselverwendungen (EKUs) - Objektkennungen (OIDs), die die Verwendung des Zertifikats beschreiben. Im Microsoft-Sprachgebrauch auch als Enhanced Key Usage bezeichnet. Häufige EKU-OIDs sind:

- Codesignierung (OID 1.3.6.1.5.5.7.3.3) - Das Zertifikat dient zum Signieren von ausführbarem Code.

- Verschlüsselndes Dateisystem (OID 1.3.6.1.4.1.311.10.3.4) - Das Zertifikat dient zur Verschlüsselung von Dateisystemen.

- Sichere E-Mail (1.3.6.1.5.5.7.3.4) - Das Zertifikat dient zur Verschlüsselung von E-Mails.

- Clientauthentifizierung (OID 1.3.6.1.5.5.7.3.2) - Das Zertifikat dient zur Authentifizierung bei einem anderen Server (z. B. bei AD).

- Smartcard-Anmeldung (OID 1.3.6.1.4.1.311.20.2.2) - Das Zertifikat wird bei der Smartcard-Authentifizierung verwendet.

- Serverauthentifizierung (OID 1.3.6.1.5.5.7.3.1) - Das Zertifikat dient zur Identifizierung von Servern (z. B. HTTPS-Zertifikate).

10. Signaturalgorithmus - Gibt den Algorithmus an, der zum Signieren des Zertifikats verwendet wird.
11. Signatur - Die Signatur des Zertifikatskörpers, die mit dem privaten Schlüssel des Ausstellers (z. B. einer CA) erstellt wurde.

Quelle: Whitepaper von SpecterOps

Digitale Zertifikate können verwendet werden, um elektronische Dokumente und Nachrichten zu verschlüsseln und digital zu signieren, sowie zur Authentifizierung von Computer-, Benutzer- oder Gerätekonten in einem Netzwerk. Beispielsweise werden digitale Zertifikate verwendet, um Folgendes bereitzustellen:

🔐Vertraulichkeit durch Verschlüsselung.

🔏Integrität durch digitale Signaturen.

🖇️Authentifizierung durch Zuordnung von Zertifikatsschlüsseln zu Computer-, Benutzer- oder Gerätekonten in einem Computernetzwerk.

Quelle: Microsoft Learning

AD CS ist eine Microsoft-Technologie, die eine zentralisierte Infrastruktur für die Verwaltung digitaler Zertifikate bereitstellt. Sie bietet mehrere wichtige Vorteile:

• Identitätsbindung: AD CS bindet Identitäten (Benutzer, Computer, Dienste) an private Schlüssel und gewährleistet so eine sichere Authentifizierung und Zugriffskontrolle.

• Zertifikatsverwaltung: Es verwaltet effizient die Verteilung, Registrierung und Sperrung von Zertifikaten.

• Integration in Active Directory: Nutzt vorhandene Identitätsinformationen in AD für eine nahtlose Zertifikatsregistrierung und -verwaltung.

• Gruppenrichtlinienkonfiguration: Ermöglicht eine detaillierte Steuerung der Zertifikatsausstellung und -verwendung basierend auf Rollen oder Attributen.

• Unterstützt verschiedene Anwendungen: AD CS unterstützt eine breite Palette von Anwendungen, darunter S/MIME, drahtlose Netzwerke, VPN, IPsec, EFS, Smartcards, SSL/TLS und digitale Signaturen.

Im Wesentlichen bietet AD CS eine sichere und effiziente Möglichkeit, digitale Zertifikate zu verwalten und die Gesamtsicherheit der IT-Infrastruktur eines Unternehmens zu verbessern.