🛡 Module d'outil de sécurité IA
CVE-2026-54121 : Usurpation d'identité Active Directory Certificate Services (Certighost)

Module officiel d'audit de sécurité pour l'écosystème AI Security Tool

🌐 Démo Web • 📚 Site du projet • 💬 Chat communautaire

Navigation du site : Accueil • Mises à jour • Téléchargements • Modules

🧠 Aperçu conceptuel

Ce module fournit des capacités de diagnostic pour CVE-2026-54121, surnommée Certighost. La vulnérabilité existe au sein d'Active Directory Certificate Services (AD CS) durant la phase de validation des inscriptions de certificats de comptes d'ordinateur.

Un attaquant disposant d'identifiants de domaine standard à faibles privilèges crée un nouveau compte d'ordinateur et soumet une demande de certificat contenant des attributs manipulés cdc (écouteur IP contrôlé) et rmd (FQDN du DC cible). Lorsque l'Autorité de certification (CA) se reconnecte pour valider l'identité de la machine, des écouteurs LDAP (port 389) et SMB/LSA (port 445) malveillants usurpent les attributs d'identité du contrôleur de domaine cible (sAMAccountName, SID, dNSHostName). Cela trompe la CA qui délivre un certificat authentique de contrôleur de domaine, permettant une compromission totale du domaine via PKINIT.

🎯 Philosophie d'impact principal

« S'authentifier en tant que machine, escalader vers tout le domaine. »
Certighost contourne les permissions traditionnelles des modèles AD CS en empoisonnant le pipeline de résolution d'identité de la CA. L'obtention d'un certificat valide de contrôleur de domaine accorde une authentification PKINIT instantanée, produisant à la fois un cache d'identifiants TGT (.ccache) et le hash NT du DC cible.

📊 Spécifications de la vulnérabilité

🕸 Scénario d'attaque et architecture

graph TD
    A[Low-Priv Domain User] -->|1. Create Computer Account| B[Domain Controller]
    A -->|2. Start Rogue SMB 445 / LDAP 389 Listeners| C[Attacker Machine]
    A -->|3. Submit Cert Request with cdc & rmd Attributes| D[Active Directory CA]
    D -->|4. CA Lookups Connect to Rogue Listeners| C
    C -->|5. Validate via Netlogon & Return Target DC Identity| D
    D -->|6. Issue Valid DC Certificate .pfx| A
    A -->|7. Perform PKINIT with DC Certificate| E[Full Domain Takeover / NT Hash Export]

🛡 Liste de contrôle des mesures d'atténuation

• 🟢 Appliquer les mises à jour de sécurité : Déployer les correctifs officiels Microsoft traitant CVE-2026-54121 sur les serveurs AD CS.
• 🟢 Restreindre la création de comptes machine : Définir ms-DS-MachineAccountQuota à 0 pour empêcher les utilisateurs non administrateurs de créer de nouveaux objets ordinateur.
• 🟡 Durcissement AD CS : Désactiver les modèles de certificats vulnérables et s'assurer que EDITF_ATTRIBUTESUBJECTALTNAME2 (ESC6) est désactivé sauf si explicitement requis.
• 🟡 Filtrage réseau : Bloquer le trafic sortant SMB (445) et LDAP (389) depuis les serveurs CA vers des postes de travail arbitraires.

💻 Comment exécuter ce module

⚠️ IMPORTANT : Ce module est conçu pour des tests de diagnostic sécurisés au sein du framework AI Security Tool. Exécutez uniquement contre des cibles autorisées avec des privilèges administratifs élevés.

1️⃣ Installer AI Security Tool

Pour exécuter les scripts de diagnostic et de surveillance, installez le framework principal AI Security Tool :

2️⃣ Installer les dépendances et exécution

Installez les bibliothèques Python requises pour les écouteurs LDAP/SMB malveillants et la gestion des certificats :

# Install python dependencies
sudo pip install --break-system-packages git+https://github.com/fortra/impacket.git cryptography pyasn1 asn1crypto pycryptodome dnspython

# Execute Certighost proof-of-concept (Requires root for ports 389/445)
sudo python3 certighost.py -d playground.local -u lowpriv -p 'Password1234' --dc-ip 192.168.1.10

🔍 Modules d'audit de sécurité et dépôts PoC

Modules de scanner de vulnérabilités, scripts PoC et dépôts de recherche maintenus par notre communauté :

⚖️ Licence et clause de non-responsabilité légale

🚨 Clause de non-responsabilité

Cet outil et cette analyse de sécurité sont fournis strictement pour l'audit de systèmes autorisé, la recherche défensive et les missions de tests d'intrusion.
L'exécution de CVE-2026-54121 contre des environnements de domaine sans autorisation écrite expresse du propriétaire du système est illégale. Les auteurs n'assument aucune responsabilité pour toute compromission de domaine non autorisée, perte de données ou perturbation de système.

🔄 Contribution et communauté

Nous accueillons les contributions de la communauté de recherche en sécurité ! Principaux domaines de contribution :

1. Intégrations IA : Ajout de nouveaux fournisseurs LLM et développement d'agents de sécurité spécialisés.
2. Outils de sécurité : Développement de modules de vulnérabilité et intégration de scanners CLI.
3. Optimisation : Amélioration de la vitesse du parseur, de la sécurité d'exécution et de la logique de mise en cache.
4. Documentation : Rédaction d'articles de recherche, de guides et de traductions localisées.

🔗 Contact et support

• Site officiel : ZeroDayEvil.com
• Analyse technique : Analyse Gist par H0j3n
• Avis MSRC : Guide CVE-2026-54121
• Administrateur Telegram : @ZeroDayEvil
• Chat Telegram : @ZeroDyaTool_chat
• Canal Telegram : @ZeroDyaTool_channel
• Soutenir le projet : Dons PayPal
• Open Collective : opencollective.com/ZeroDayEvil

AI Security Tool — Réinventer le flux de travail terminal et l'automatisation pour les professionnels de la cybersécurité.