CVE-2026-54121 - AD CS "Certighost" विशेषाधिकार उन्नयन फ्रेमवर्क-टूलकिट

Active Directory Certificate Services — Certighost → डोमेन अधिग्रहण

एक्सप्लॉइट फ्रेमवर्क और ऑडिट टूलकिट
केवल अधिकृत सुरक्षा परीक्षण के लिए।

⚖️ कानूनी अस्वीकरण और उत्तरदायी उपयोग

यह टूल केवल शैक्षिक और अधिकृत पैठ परीक्षण उद्देश्यों के लिए प्रदान किया गया है। लेखक और योगदानकर्ता इस सॉफ़्टवेयर के किसी भी दुरुपयोग या क्षति के लिए ज़िम्मेदार नहीं हैं। उपयोगकर्ता यह सुनिश्चित करने के लिए पूर्ण रूप से ज़िम्मेदार हैं कि परीक्षण से पहले उनके पास लक्ष्य स्वामी से स्पष्ट लिखित अनुमति हो। लागू संघीय, राज्य और अंतर्राष्ट्रीय साइबर अपराध कानूनों के तहत कंप्यूटर सिस्टम तक अनधिकृत पहुंच अवैध है। इस सॉफ़्टवेयर का उपयोग करके, आप निम्नलिखित से सहमत होते हैं:

• इसका उपयोग केवल उन सिस्टमों पर करें जिनके स्वामी आप हैं या जिनके परीक्षण की स्पष्ट अनुमति आपके पास है।
• सभी लागू स्थानीय, राज्य और संघीय कानूनों का पालन करें।
• इसका उपयोग किसी दुर्भावनापूर्ण, विनाशकारी या अवैध गतिविधियों के लिए न करें।

⚠️ चेतावनी: Active Directory विशेषाधिकार उन्नयन भेद्यताएं उद्यम अवसंरचना के लिए उच्च जोखिम प्रस्तुत करती हैं। अनधिकृत परीक्षण सख्त वर्जित है।

[+!] भेद्यता अवलोकन

CVE-2026-54121 (उपनाम "Certighost") Microsoft Active Directory Certificate Services (AD CS) में एक विशेषाधिकार उन्नयन (EoP) भेद्यता है। यह निम्न-विशेषाधिकार वाले डोमेन उपयोगकर्ताओं को डोमेन कंट्रोलर मशीन खातों की नकल करने और प्रमाणपत्र जालसाजी के माध्यम से पूर्ण डोमेन एडमिन अधिग्रहण प्राप्त करने की अनुमति देता है।

यह कैसे काम करता है:

1. लक्ष्य सत्यापन बाईपास: यह भेद्यता प्रमाणपत्र अनुरोध लक्ष्य मापदंडों को संभालने के दौरान AD CS में अनुचित प्राधिकरण जांच (CWE-285) के कारण मौजूद है।
2. दुष्ट सर्वर पुनर्निर्देशन: प्रमाणपत्र प्राधिकरण (CA) यह सत्यापित किए बिना कि लक्ष्य एक अधिकृत डोमेन कंट्रोलर है, क्लाइंट द्वारा आपूर्ति किए गए सर्वर पुनर्निर्देशन लक्ष्यों को स्वीकार करता है।
3. डोमेन कंट्रोलर प्रतिरूपण: CA हमलावर-नियंत्रित सर्वर से पूछताछ करता है और एक विशेषाधिकार प्राप्त डोमेन कंट्रोलर की पहचान के तहत हस्ताक्षरित एक वैध कंप्यूटर प्रमाणपत्र जारी करता है।
4. डोमेन अधिग्रहण (DCSync): जाली DC प्रमाणपत्र का उपयोग करके, हमलावर डोमेन कंट्रोलर विशेषाधिकार प्राप्त करने और DCSync संचालन निष्पादित करने के लिए Kerberos/PKINIT के माध्यम से प्रमाणित करता है।

मुख्य तथ्य:

चेतावनी! 🌬️

यह कोड उपयोगकर्ता-अनुकूल दृष्टिकोण को ध्यान में रखते हुए लिखा गया है और पूरी तरह कार्यात्मक है, जो सुरक्षा, गोपनीयता और न्यूनतम लॉगिंग को प्राथमिकता देता है। यह अनुशंसा की जाती है कि आप Shodan एकीकरण और लाइब्रेरी को पूरी तरह से हटा दें, थ्रेड पूल के बजाय एकल थ्रेड का उपयोग करें, पोर्ट स्कैनिंग और detect_ip हटा दें, और लॉगिंग और आउटपुट अक्षम कर दें। इस संस्करण के लिए "stealthcert.py" का उपयोग करें।

CVE-2026-54121 CertiGhost - पैरामीटर संदर्भ

📋 पूर्ण पैरामीटर सूची

Python एक्सप्लॉइट पैरामीटर

stealthcare.py (सुरक्षित एक्सप्लॉइट)

PowerShell रैपर पैरामीटर

🚀 उपयोग उदाहरण

git clone https://tc4dy/CVE-2026-54121-PoC-Exploit
#install requirements

उदाहरण ❄️

# Auto-discovers CA via LDAP, creates temp computer, spawns rogue servers, requests certificate with cdc redirect, extracts DC's NT hash via PKINIT, enables DCSync for domain takeover
python3 certighost.py -d playground.local -u lowpriv -p Password123 --dc-ip 192.168.1.10

# Impersonates a specific Domain Controller (DC01$). Useful when you know exactly which DC to target. Bypasses auto-discovery
python3 certighost.py -d corp.local -u user -p Passw0rd --dc-ip 10.0.0.1 --target-san DC01$

# Uses NTLM hash instead of password. Works when password is unknown but hash is obtained. ':' before hash = empty LM hash
python3 certighost.py -d domain.local -u admin --hashes :8846f7eaee8fb117ad06bdd830b7586c --dc-ip 192.168.1.10

# Bypasses LDAP CA discovery. Uses explicitly provided CA IP and name. Useful when LDAP is restricted or CA is on different subnet
python3 certighost.py -d playground.local -u lowpriv -p Password123 --dc-ip 192.168.1.10 --ca-ip 192.168.1.20 --ca "PLAYGROUND-CA"

Powershell (पहचान)

# Native LDAP query to check if AD CS is present. Returns CA name and DNS. Read-only, safe for production. No exploitation performed
.\CertiGhost.ps1 -d playground.local --dc-ip 192.168.1.10 --username lowpriv -p Password123 --detect

Python बैकएंड एक्सप्लॉइट

# Runs native AD CS detection then calls Python certighost.py with all parameters. Requires certighost.py in same directory. Prints NT hash and ccache file
.\CertiGhost.ps1 -d corp.local --dc-ip 10.0.0.1 --username attacker -p P@ssw0rd --exploit --target-account DC01$

JSON सहेजें, पहचान मोड

#Detection only mode. Saves results in JSON format. Useful for automation, reporting, and integration with other security tools
.\CertiGhost.ps1 -d domain.local --dc-ip 192.168.1.10 --username user -p pass --detect -o results.json

🧠 तकनीकी गहन विश्लेषण

1. AD CS लक्ष्य सत्यापन बाईपास (Certighost)

यह भेद्यता प्रमाणपत्र नामांकन प्रक्रियाओं के दौरान Active Directory Certificate Services (AD CS) के भीतर अनुचित प्राधिकरण और सत्यापन जांच (CWE-285) से उत्पन्न होती है। निम्न-विशेषाधिकार वाले डोमेन क्रेडेंशियल वाला हमलावर प्रमाणपत्र प्राधिकरण (CA) को एक दुष्ट एंडपॉइंट के विरुद्ध पहचान अभिकथन सत्यापित करने के लिए धोखा देने हेतु लक्ष्य पुनर्निर्देशन मापदंडों में हेरफेर कर सकता है।

भेद्य एंडपॉइंट / अनुरोध संदर्भ:

POST /certsrv/mscep/mscep.dll HTTP/1.1
Host: ca-server.domain.local
Content-Type: application/x-www-form-urlencoded

... (Certificate Request payload with manipulated target/cdc parameters)

2. हमले के वेक्टर

• चेज़ लक्ष्य हेरफेर: एक हमलावर प्रमाणपत्र अनुरोध के भीतर लक्ष्य पुनर्निर्देशन मापदंडों (जैसे cdc / चेज़ लक्ष्य) को संशोधित करता है, जिससे प्रमाणपत्र प्राधिकरण (CA) सत्यापन ट्रैफ़िक को एक निर्दिष्ट एंडपॉइंट पर रूट करने के लिए मजबूर होता है।

• दुष्ट सर्वर पुनर्निर्देशन: प्रमाणपत्र प्राधिकरण (CA) यह मान्य किए बिना कि लक्ष्य एक वैध और अधिकृत डोमेन कंट्रोलर है, क्लाइंट द्वारा आपूर्ति किए गए गंतव्य के लिए LDAP या SMB कनेक्शन शुरू करता है।

• DC पहचान जालसाजी और प्रमाणपत्र जारी करना: हमलावर के नियंत्रण में दुष्ट सर्वर लक्षित डोमेन कंट्रोलर खाते की ओर से CA द्वारा जारी सत्यापन क्वेरी का उत्तर देता है। इस प्रतिक्रिया पर भरोसा करते हुए, CA डोमेन कंट्रोलर की पहचान रखने वाला एक वैध, हस्ताक्षरित प्रमाणपत्र जारी करता है।

3. पोस्ट-एक्सप्लॉइटेशन

टिकट ग्रांटिंग टिकट (TGT) प्राप्ति

प्राप्त डोमेन कंट्रोलर प्रमाणपत्र का उपयोग करके, उच्च-विशेषाधिकार वाला TGT प्राप्त करने के लिए PKINIT (प्रारंभिक प्रमाणीकरण के लिए सार्वजनिक कुंजी क्रिप्टोग्राफी) के माध्यम से Kerberos प्रमाणीकरण किया जाता है।

DCSync हमला

डोमेन कंट्रोलर विशेषाधिकार रखने वाले Kerberos टिकट के साथ, Active Directory डेटाबेस में सभी खातों के पासवर्ड हैश (जैसे, krbtgt, Administrator) DCSync तकनीक का उपयोग करके निकाले जाते हैं।

स्थिरता (Persistence)

• गोल्डन टिकट निर्माण: निकाले गए krbtgt खाते के पासवर्ड हैश का उपयोग करके TGT को मांग पर जाली बनाया जाता है।
• शैडो क्रेडेंशियल: लक्षित खातों के msDS-KeyCredentialLink गुण में अनधिकृत प्रमाणपत्र कुंजियाँ जोड़ी जाती हैं ताकि स्थायी पहुंच सुरक्षित रहे।
• प्रमाणपत्र टेम्पलेट हेरफेर: भविष्य में विशेषाधिकार उन्नयन की अनुमति देने वाले बैकडोर कॉन्फ़िगरेशन बनाए रखने के लिए AD CS टेम्पलेट अनुमतियों को बदल दिया जाता है।

पार्श्व संचलन (Lateral Movement)

• डोमेन प्रभुत्व: डोमेन के भीतर सभी सर्वरों और वर्कस्टेशनों पर पूर्ण विशेषाधिकार (SYSTEM / Domain Admin) सत्र स्थापित किए जाते हैं।
• क्रॉस-फॉरेस्ट पिवोटिंग: SID History या TGT प्रत्यायोजन तकनीकों का उपयोग करके भरोसेमंद डोमेन (Forest Trust) में प्रवेश प्राप्त किया जाता है।

📚 संदर्भ

• NVD - CVE-2026-54121
• Microsoft Security Update Guide - CVE-2026-54121
• CERT/CC Vulnerability Note
• MITRE ATT&CK - T1649: Steal or Forge Authentication Certificates

🔗 अन्य एक्सप्लॉइट

• CVE-2026-15409/15410 - SonicWall SMA1000 Multi-Exploit Framework
• CVE-2026-6875 - ServiceNow Pre-Auth RCE Exploit Framework
• CVE-2026-41091 - SolarFlare (RedSun) Microsoft Defender LPE
• CVE-2026-57821 - Apache Fineract SQL Injection Toolkit
• CVE-2026-41940 - cPanel/WHM Authentication Bypass