📌 कार्यकारी स्नैपशॉट

🚨 यह क्यों महत्वपूर्ण है

Certighost खतरनाक है क्योंकि यह Windows डोमेन की विश्वास की नींव को लक्षित करता है: प्रमाणपत्र-आधारित पहचान।

एक सफल हमला निम्न-विशेषाधिकार वाले डोमेन उपयोगकर्ता को AD CS प्रमाणपत्र नामांकन व्यवहार का दुरुपयोग करने और संभावित रूप से डोमेन कंट्रोलर पहचान से मैप किया गया प्रमाणपत्र प्राप्त करने की अनुमति दे सकता है। यदि ऐसा होता है, तो हमलावर डोमेन कंट्रोलर के रूप में प्रमाणित हो सकता है और विशेषाधिकार प्राप्त Active Directory संचालन कर सकता है।

सबसे महत्वपूर्ण डाउनस्ट्रीम जोखिम है:

डोमेन कंट्रोलर प्रतिरूपण → DCSync → krbtgt एक्सपोज़र → गोल्डन टिकट-स्तर डोमेन समझौता जोखिम

🧠 तकनीकी मूल कारण

यह दोष AD CS एंटरप्राइज़ CA नामांकन फ़ॉलबैक में मौजूद है जिसे chase के रूप में जाना जाता है।

कमजोर व्यवहार में:

1. एक प्रमाणपत्र अनुरोध में cdc और rmd विशेषताएँ शामिल हो सकती हैं।
2. CA निर्देशिका-ऑब्जेक्ट समाधान के दौरान अनुरोधकर्ता-आपूर्ति किए गए cdc लक्ष्य का अनुसरण करता है।
3. CA SMB/LDAP के माध्यम से हमलावर-नियंत्रित होस्ट से संपर्क कर सकता है।
4. CA पहले यह साबित किए बिना कि लक्ष्य एक वास्तविक डोमेन कंट्रोलर है, लौटाए गए पहचान डेटा को स्वीकार करता है।
5. प्रमाणपत्र पहचान सामग्री हमलावर-नियंत्रित निर्देशिका डेटा से प्रभावित हो सकती है।

Microsoft ने जुलाई 2026 में सत्यापन तर्क जोड़कर इस समस्या का पैच जारी किया, जो आगे बढ़ने से पहले यह जाँचता है कि आपूर्ति किया गया chase लक्ष्य एक वैध डोमेन कंट्रोलर है या नहीं।

🧭 हमला पथ आरेख

flowchart TD
    A[Low-privileged domain account] --> B[Create or reuse machine account]
    B --> C[Submit AD CS enrollment request]
    C --> D[Request includes cdc and rmd attributes]
    D --> E[Vulnerable CA follows requester-controlled chase target]
    E --> F[CA contacts attacker-controlled SMB/LDAP host]
    F --> G[Attacker supplies Domain Controller identity data]
    G --> H[CA issues certificate identity material]
    H --> I[PKINIT authentication as target machine]
    I --> J{Target is Domain Controller?}
    J -->|Yes| K[DCSync / privileged AD operations]
    K --> L[krbtgt exposure / domain compromise risk]
    J -->|No| M[Machine identity impersonation]

🧩 प्रभावित प्लेटफ़ॉर्म और फिक्स्ड बिल्ड

परिचालन प्राथमिकता: पहले AD CS / एंटरप्राइज़ CA सर्वरों को पैच करें।

🔥 खतरा खुफिया सारांश

| आइटम | स्थिति | विश्वास | |---|---:| | सार्वजनिक PoC | मिला | उच्च | | GitHub रिपॉजिटरीज़ | मिला | मध्यम-उच्च | | Exploit-DB | नहीं मिला | मध्यम-उच्च | | Metasploit मॉड्यूल | नहीं मिला | मध्यम | | CISA KEV | नहीं मिला | उच्च | | पुष्टिकृत सक्रिय शोषण | नहीं मिला | मध्यम-उच्च | | रैनसमवेयर उपयोग | नहीं मिला | मध्यम-उच्च | | APT श्रेय | नहीं मिला | मध्यम-उच्च | | शोषण परिपक्वता | सार्वजनिक PoC उपलब्ध | उच्च |

🕒 जांच समयरेखा

timeline
    title CVE-2026-54121 Certighost Timeline
    2026-05-14 : Vulnerability reported to Microsoft
    2026-05-22 : Case confirmed per researcher timeline
    2026-06-11 : CVE reserved
    2026-07-14 : Microsoft patch and advisory released
    2026-07-24 : Public Certighost analysis and PoC released
    2026-07-27 : EPSS record date: 0.010520
    2026-07-28 : CTI report finalized

🛡️ रक्षात्मक प्राथमिकता

तत्काल कार्रवाई

• सभी AD CS / एंटरप्राइज़ CA सर्वरों की सूची बनाएं।
• Microsoft जुलाई 2026 सुरक्षा अपडेट लागू करें।
• फिक्स्ड OS बिल्ड स्तर सत्यापित करें।
• जहाँ संभव हो, पैच किए गए CA व्यवहार की पुष्टि करें।
• AD CS ऑडिटिंग सक्षम करें और मान्य करें।
• cdc और rmd विशेषताओं के लिए ऐतिहासिक प्रमाणपत्र अनुरोधों की खोज करें।
• डोमेन कंट्रोलर प्रमाणपत्र जारी करने की विसंगतियों की समीक्षा करें।
• गैर-डोमेन कंट्रोलर होस्ट्स के लिए CA आउटबाउंड SMB/LDAP की निगरानी करें।
• संदिग्ध मशीन खाता निर्माण की जाँच करें।
• DCSync संकेतकों और krbtgt एक्सपोज़र जोखिम की समीक्षा करें।

यदि पैचिंग में देरी हो तो अस्थायी शमन

केवल परीक्षण के बाद EDITF_ENABLECHASECLIENTDC को साफ़ करके कमजोर chase फ़ॉलबैक को अक्षम करें। यह वैध नामांकन वर्कफ़्लो को तोड़ सकता है। जुलाई 2026 अपडेट ही अनुशंसित उपाय बना हुआ है।

🔎 उच्च-मूल्य पहचान विचार

AD CS अनुरोध / जारी करना

Event ID 4886 or 4887
AND request attributes contain:
  cdc
  rmd

CA नेटवर्क एग्रेस

Process: certsrv.exe
Outbound port: 389 or 445
Destination: non-Domain-Controller host

मशीन खाता निर्माण

Event ID 4741
Computer account created by standard user
Followed by suspicious certificate issuance

DCSync अनुवर्ती

Event ID 4662
Replication GUIDs:
  1131f6aa-9c07-11d1-f79f-00c04fc2dcd2
  1131f6ad-9c07-11d1-f79f-00c04fc2dcd2
  89e95b76-444d-4c62-991a-0facbeda640c
Source is not an expected Domain Controller or identity-management system

📊 जोखिम मैट्रिक्स

✅ सत्यापित संकेतक और अंतराल

📚 पूर्ण रिपोर्ट

पूर्ण एंटरप्राइज़ CTI रिपोर्ट यहाँ उपलब्ध है:

➡️ CVE-2026-54121_CTI_Report.md

इसमें शामिल हैं:

• आधिकारिक CVE पहचान
• CPE सत्यापन
• प्रभावित उत्पाद और फिक्स्ड-बिल्ड मैपिंग
• मूल-कारण विश्लेषण
• शोषण परिपक्वता आकलन
• खतरा खुफिया समीक्षा
• IOC तालिका
• MITRE ATT&CK मैपिंग
• Sigma विचार
• Wazuh मार्गदर्शन
• Splunk SPL
• Microsoft Sentinel KQL
• Snort/Suricata अवधारणाएँ
• शमन और IR मार्गदर्शन
• जोखिम आकलन
• साक्ष्य उत्पत्ति तालिका
• धारणाएँ और सीमाएँ

🔗 प्राथमिक संदर्भ

• Microsoft सुरक्षा अद्यतन गाइड: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-54121
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-54121
• CVE Services API: https://cveawg.mitre.org/api/cve/CVE-2026-54121
• CISA KEV कैटलॉग: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-54121
• Certighost तकनीकी विवरण: https://gist.github.com/H0j3n/a5ef2609b5f2944ac2390a191a534c26
• सार्वजनिक PoC रिपॉजिटरी: https://github.com/aniqfakhrul/CVE-2026-54121
• Dataminr Intel ब्रीफ़: https://www.dataminr.com/resources/intel-brief/certighost-cve-2026-54121/
• FIRST EPSS API: https://api.first.org/data/v1/epss?cve=CVE-2026-54121
• Tenable CVE प्रविष्टि: https://www.tenable.com/cve/CVE-2026-54121