CertiGhost (CVE-2026-54121) - AD CS चेज़ फ़ॉलबैक शोषण टूलकिट

अवलोकन

CertiGhost एक गंभीर भेद्यता (CVSS 8.8) है जो Active Directory Certificate Services (AD CS) में पाई जाती है, जो कम-विशेषाधिकार वाले डोमेन उपयोगकर्ता को Domain Controller का रूप धारण करने और पूर्ण डोमेन समझौता करने की अनुमति देती है।

• CVE: CVE-2026-54121
• CVSS: 8.8 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)
• पैच किया गया: 14 जुलाई 2026 (Microsoft सुरक्षा अद्यतन)
• PoC जारी: 24 जुलाई 2026
• प्रभावित: Windows Server 2012-2025 जिसमें AD CS Enterprise CA है

भेद्यता विवरण

AD CS "चेज़" फ़ॉलबैक तंत्र एक अनुरोधकर्ता को प्रमाणपत्र अनुरोध में cdc (Client DC) और rmd (Remote Domain) विशेषताएँ प्रदान करने की अनुमति देता है। CA यह सत्यापित किए बिना कि यह एक वैध Domain Controller है, पहचान डेटा को हल करने के लिए cdc लक्ष्य का अनुसरण करता है।

आक्रमण श्रृंखला:

1. कम-विशेषाधिकार वाला उपयोगकर्ता मशीन खाता बनाता है (ms-DS-MachineAccountQuota के माध्यम से)
2. हमलावर नियंत्रित होस्ट पर नकली LDAP/LSA सेवाएँ चलाता है
3. प्रमाणपत्र अनुरोध cdc के साथ हमलावर होस्ट की ओर इंगित करते हुए प्रस्तुत किया जाता है
4. CA हमलावर होस्ट से संपर्क करता है, नकली DC पहचान डेटा स्वीकार करता है
5. CA लक्षित DC की पहचान (SID, DNS नाम) के साथ प्रमाणपत्र जारी करता है
6. हमलावर PKINIT → Kerberos TGT को DC के रूप में प्रमाणपत्र का उपयोग करता है
7. DCSync → krbtgt हैश → Golden Ticket → पूर्ण डोमेन समझौता

दस्तावेज़ीकरण

फ़ाइलें

आक्रमण श्रृंखला आरेख

Stage 1        Stage 2        Stage 3        Stage 4        Stage 5        Stage 6
LDAP Disc.  →  Machine Acct → Rogue Svc  →  Cert Request → PKINIT Auth →  DCSync
  │              │              │              │              │              │
  ▼              ▼              ▼              ▼              ▼              ▼
Find DC/CA   SAMR create   LDAP :389     cdc+rmd attr   TGT as DC01$  krbtgt hash
+ SID/DN     DESKTOP-XX$   SMB :445      → CA chases    → KDC accepts  → Golden
             + SPNs        relay         attacker host   cert as DC    Ticket

पूर्ण आर्किटेक्चर आरेखों के लिए DIAGRAM.md देखें।

त्वरित आरंभ

निर्भरताएँ स्थापित करें

pip install -r requirements.txt

पहचान मोड (सुरक्षित)

# बिना प्रमाणीकरण के स्कैन
python ad_detect.py

# प्रमाणीकृत स्कैन (अनुशंसित)
python ad_detect.py -u DOMAIN\\username -p 'Password123'

# विशिष्ट DC के साथ
python ad_detect.py -u DOMAIN\\user -p 'pass' --dc-ip 10.x.x.x

सामान्य पहचान

python certighost_test.py -d example.com --detect
python certighost_test.py -d example.com -u lowpriv_user -p 'Password123' --detect

शोषण मोड (विनाशकारी - केवल अधिकृत परीक्षण)

python certighost_test.py -d example.com -u lowpriv_user -p 'Password123' \
    --dc-ip 10.0.0.10 --attacker-ip 10.0.0.99 --exploit

किए गए पहचान जाँच

1. Domain Controller खोज - DNS SRV + A रिकॉर्ड समाधान
2. Enterprise CA खोज - PKI Enrollment Services के लिए LDAP क्वेरी
3. Machine Account Quota - ms-DS-MachineAccountQuota मान
4. चेज़ फ़ॉलबैक स्थिति - EDITF_ENABLECHASECLIENTDC फ़्लैग
5. पैच स्तर - जुलाई 2026 अद्यतन की उपस्थिति
6. प्रमाणपत्र टेम्पलेट - प्रवेशक-आपूर्ति विषय के साथ क्लाइंट प्रमाणीकरण टेम्पलेट

शोषण के लिए पूर्वापेक्षाएँ

• AD CS तैनात के साथ Enterprise CA
• कम-विशेषाधिकार वाला डोमेन उपयोगकर्ता खाता
• ms-DS-MachineAccountQuota > 0 (डिफ़ॉल्ट: 10)
• CA से हमलावर होस्ट तक नेटवर्क पहुँच
• जुलाई 2026 सुरक्षा अद्यतन लागू नहीं है
• डिफ़ॉल्ट Machine प्रमाणपत्र टेम्पलेट (या समान)

निवारण

तत्काल (गंभीर)

# सभी CA सर्वरों पर जुलाई 2026 सुरक्षा अद्यतन लागू करें

# अस्थायी शमन - चेज़ फ़ॉलबैक अक्षम करें
certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC
Restart-Service CertSvc -Force

अल्पकालिक

• ms-DS-MachineAccountQuota को 0 पर सेट करें
• प्रमाणपत्र टेम्पलेट ACL की समीक्षा करें
• टेम्पलेट से ENROLLEE_SUPPLIES_SUBJECT हटाएँ
• LDAP साइनिंग और चैनल बाइंडिंग सक्षम करें

पहचान

• cdc/rmd विशेषताओं वाले प्रमाणपत्र अनुरोधों की निगरानी करें
• गैर-व्यवस्थापक उपयोगकर्ताओं द्वारा नए मशीन खाता निर्माण पर अलर्ट करें
• DCSync प्रतिकृति घटनाओं की निगरानी करें (Event ID 4662)

Microsoft Defender पहचान

Microsoft Threat Protection ब्लॉग के अनुसार, निम्नलिखित advanced hunting क्वेरी तैनात करें:

// Detect CertiGhost certificate requests with cdc/rmd attributes
let CertSvcEvents = DeviceEvents
| where ActionType == "CertSvcRequestSubmitted"
| extend RequestAttributes = parse_json(AdditionalFields).RequestAttributes
| where RequestAttributes has "cdc" or RequestAttributes has "rmd";
CertSvcEvents
| project Timestamp, DeviceName, InitiatingProcessAccountName, RequestAttributes

संदर्भ

• Microsoft Security Response Center - CVE-2026-54121
• CertiGhost Technical Writeup (H0j3n)
• Microsoft Defender Detection Blog
• Kudelski Security - CertiGhost Analysis
• Dark Reading - CertiGhost Coverage