🛡 Modulo AI Security Tool
CVE-2026-54121: Impersonificazione di Active Directory Certificate Services (Certighost)

Modulo ufficiale di audit di sicurezza per l'ecosistema AI Security Tool

🌐 Demo Web • 📚 Sito del progetto • 💬 Chat della community

Navigazione del sito: Home • Aggiornamenti • Download • Moduli

🧠 Panoramica concettuale

Questo modulo fornisce capacità diagnostiche per CVE-2026-54121, soprannominata Certighost. La vulnerabilità risiede in Active Directory Certificate Services (AD CS) durante la fase di validazione delle richieste di certificato per gli account computer.

Un attaccante in possesso di credenziali di dominio standard a bassi privilegi crea un nuovo account computer e invia una richiesta di certificato contenente gli attributi manipolati cdc (listener IP controllato) e rmd (FQDN del DC di destinazione). Quando la Certificate Authority (CA) si riconnette per validare l'identità della macchina, listener LDAP (porta 389) e SMB/LSA (porta 445) malevoli falsificano gli attributi di identità del Domain Controller di destinazione (sAMAccountName, SID, dNSHostName). Questo induce la CA a emettere un certificato autentico di Domain Controller, consentendo la compromissione completa del dominio tramite PKINIT.

🎯 Filosofia dell'impatto principale

"Autenticati come macchina, scala all'intero dominio."
Certighost aggira i permessi tradizionali dei template AD CS avvelenando la pipeline di risoluzione dell'identità della CA. Ottenere un certificato valido di Domain Controller garantisce un'autenticazione PKINIT istantanea, producendo sia una cache di credenziali TGT (.ccache) sia l'NT hash del DC di destinazione.

📊 Specifiche della vulnerabilità

🕸 Scenario di attacco e architettura

graph TD
    A[Low-Priv Domain User] -->|1. Create Computer Account| B[Domain Controller]
    A -->|2. Start Rogue SMB 445 / LDAP 389 Listeners| C[Attacker Machine]
    A -->|3. Submit Cert Request with cdc & rmd Attributes| D[Active Directory CA]
    D -->|4. CA Lookups Connect to Rogue Listeners| C
    C -->|5. Validate via Netlogon & Return Target DC Identity| D
    D -->|6. Issue Valid DC Certificate .pfx| A
    A -->|7. Perform PKINIT with DC Certificate| E[Full Domain Takeover / NT Hash Export]

🛡 Checklist di mitigazione

• 🟢 Applicare gli aggiornamenti di sicurezza: Distribuire le patch ufficiali Microsoft che risolvono CVE-2026-54121 su tutti i server AD CS.
• 🟢 Limitare la creazione di account macchina: Impostare ms-DS-MachineAccountQuota a 0 per impedire agli utenti non amministratori di creare nuovi oggetti computer.
• 🟡 Hardening di AD CS: Disabilitare i template di certificato vulnerabili e assicurarsi che EDITF_ATTRIBUTESUBJECTALTNAME2 (ESC6) sia disattivato, salvo esplicita necessità.
• 🟡 Filtraggio di rete: Bloccare il traffico in uscita SMB (445) e LDAP (389) dai server CA verso workstation arbitrarie.

💻 Come eseguire questo modulo

⚠️ IMPORTANTE: Questo modulo è progettato per test diagnostici sicuri all'interno del framework AI Security Tool. Eseguire solo contro target autorizzati con privilegi amministrativi elevati.

1️⃣ Installare AI Security Tool

Per eseguire gli script di diagnostica e monitoraggio, installare il framework principale AI Security Tool:

2️⃣ Installare le dipendenze ed eseguire

Installare le librerie Python richieste per i listener LDAP/SMB malevoli e la gestione dei certificati:

# Install python dependencies
sudo pip install --break-system-packages git+https://github.com/fortra/impacket.git cryptography pyasn1 asn1crypto pycryptodome dnspython

# Execute Certighost proof-of-concept (Requires root for ports 389/445)
sudo python3 certighost.py -d playground.local -u lowpriv -p 'Password1234' --dc-ip 192.168.1.10

🔍 Moduli di audit di sicurezza e repository PoC

Moduli di scansione delle vulnerabilità, script PoC e repository di ricerca mantenuti dalla nostra community:

⚖️ Licenza e avvertenze legali

🚨 Avvertenza

Questo strumento e questa analisi di sicurezza sono forniti esclusivamente per l'audit autorizzato di sistemi, la ricerca difensiva e attività di penetration testing.
Eseguire CVE-2026-54121 contro ambienti di dominio senza esplicita autorizzazione scritta del proprietario del sistema è illegale. Gli autori non si assumono alcuna responsabilità per compromissioni non autorizzate del dominio, perdita di dati o interruzioni dei sistemi.

🔄 Contributi e community

Accogliamo con favore i contributi della community di ricerca sulla sicurezza! Aree di contributo principali:

1. Integrazioni AI: Aggiunta di nuovi provider LLM e sviluppo di agenti di sicurezza specializzati.
2. Strumenti di sicurezza: Sviluppo di moduli per vulnerabilità e integrazione di scanner CLI.
3. Ottimizzazione: Miglioramento della velocità del parser, della sicurezza di esecuzione e della logica di caching.
4. Documentazione: Scrittura di paper di ricerca, guide e traduzioni localizzate.

🔗 Contatti e supporto

• Sito ufficiale: ZeroDayEvil.com
• Analisi tecnica: Gist Breakdown by H0j3n
• Advisory MSRC: CVE-2026-54121 Guide
• Admin Telegram: @ZeroDayEvil
• Chat Telegram: @ZeroDyaTool_chat
• Canale Telegram: @ZeroDyaTool_channel
• Sostieni il progetto: Donazioni PayPal
• Open Collective: opencollective.com/ZeroDayEvil

AI Security Tool — Reimmaginare il flusso di lavoro del terminale e l'automazione per i professionisti della cybersecurity.