CVE-2025-53779: Microsoft Windows Kerberos 認証バイパス

CVSS スコア: 9.8 (重大)
ステータス: 実環境での活発な悪用
開示: Microsoft 2025年8月 Patch Tuesday (ゼロデイ)

概要

CVE-2025-53779 は、Microsoft Windows の Kerberos プロトコル実装における重大な認証バイパス脆弱性です。認証されていない攻撃者がこの欠陥を悪用すると、Kerberos 認証を完全にバイパスし、有効な認証情報や暗号化マテリアルを一切持たずに、ドメイン管理者を含む任意のドメインユーザーになりすますことができます。

Microsoft は、攻撃の複雑さが低く、特権が不要で、ユーザー操作も不要であり、ドメイン参加システムが完全に侵害される可能性があることから、この脆弱性に CVSS 9.8 (重大) の評価を割り当てました。

技術的詳細

根本原因

この脆弱性は、Windows ドメインコントローラー上の Kerberos キー配布センター (KDC) サービス (kdsvc.dll) に存在します。具体的には、特権属性証明書 (PAC) 検証ルーチンにおける検証ロジックのエラーにより、攻撃者が標準の認証チェックをバイパスする AS-REQ または TGS-REQ メッセージを細工することが可能になります。

影響を受けるコンポーネント

• コンポーネント: Kerberos キー配布センター (KDC)
• バイナリ: kdsvc.dll
• プロトコル: Kerberos v5 (RFC 4120)
• 脆弱性の種類: PAC 検証ロジックの欠陥による認証バイパス

攻撃ベクトル

KDC は、Kerberos メッセージ本文に特定のフラグが設定されている場合、PAC 構造内の pac-signature-data フィールドを適切に検証できません。改ざんされた PA-PAC-REQUEST padata タイプと偽造された authorization data エントリを含む特別に細工された AS-REQ を送信することで、攻撃者は対応する長期鍵を必要とせずに、任意のユーザープリンシパル名 (UPN) に対するチケット発行チケット (TGT) を KDC に発行させることができます。

この攻撃は事前認証をバイパスし (REQUIRES_PRE_AUTH フラグが事実上無視されます)、PAC 検証を完全にスキップするため、生成されたチケットに任意のグループメンバーシップ (例: Domain Admins、Enterprise Admins) を含めることができます。

影響

• 完全な認証バイパス: 有効な Kerberos TGT の取得に認証情報は不要
• 特権昇格: ドメイン管理者を含む任意のドメインユーザーになりすますことが可能
• 横展開: TGT を取得すると、攻撃者は任意のリソースのサービスチケットを要求可能
• 永続化: ゴールデンチケット/シルバーチケット型の攻撃が容易になる
• ドメイン全体の侵害: 攻撃者は未認証の状態から実質的にドメイン管理者権限を獲得

影響を受けるバージョン

2025年8月のセキュリティ更新プログラムより前の、サポートされているすべてのバージョンの Windows Server が影響を受けます:

注: Windows クライアント版 (Windows 10、Windows 11) は KDC サービスを実行しないため、影響を受けません。

再現手順

前提条件

1. 未パッチの Windows Server バージョンを実行している Windows ドメインコントローラー (上記の影響を受けるバージョンを参照)
2. ドメインコントローラーへのネットワークアクセス (ポート 88/TCP および/または 88/UDP が開放されている必要があります)
3. impacket ライブラリがインストールされた Python 3.8+
4. この PoC スクリプト (exploit.py)

ステップ 1: 依存関係のインストール

pip install impacket pycryptodome

または、提供されている requirements.txt を使用します:

pip install -r requirements.txt

ステップ 2: ターゲットのドメインコントローラーを特定する

Nmap を使用して Kerberos サービスを発見します:

nmap -sU -p 88 --script krb5-enum-users <target-ip>

または、組み込みの Kerberos スキャンを使用します:

python exploit.py --scan <target-ip>

ステップ 3: ドメインユーザーの列挙 (オプション)

ドメインユーザーが不明な場合は、Kerberos AS-REP ロースティングまたは LDAP 経由で列挙します:

python exploit.py --enum <target-ip> <domain>

ステップ 4: エクスプロイトの実行

ターゲットユーザーの偽造 TGT を生成します:

python exploit.py --dc-ip <dc-ip> --domain <domain> --target-user <username>

例:

python exploit.py --dc-ip 192.168.1.10 --domain corp.local --target-user Administrator

ステップ 5: チケットの検証

エクスプロイトは Kirbi 形式のチケットファイルを出力します。Impacket ツールを使用して検証します:

# Export the ticket
set KRB5CCNAME=ticket.kirbi

# Use the ticket to access a resource
python examples/secretsdump.py -k -no-pass <domain>/Administrator@<target>

ステップ 6: ポストエクスプロイテーション

有効な TGT を取得したら、以下が可能です:

• ハッシュのダンプ: secretsdump.py -k -no-pass domain/Administrator@<dc>
• PTT (パス・ザ・チケット): mimikatz "kerberos::ptt ticket.kirbi"
• ゴールデンチケット: 同じ手法で任意のユーザーのチケットを生成可能
• シルバーチケット: 特定のサービス (CIFS、HTTP、LDAP) のサービスチケットを要求可能

PoC (概念実証)

同梱の exploit.py は以下の攻撃フローを実装しています:

1. AS-REQ の構築: 偽造された PA-PAC-REQUEST フィールドと改ざんされた authorization data を含む変更済み AS-REQ メッセージを構築
2. PAC バイパス: リクエスト本文に kdsvc.dll の脆弱なコードパスをトリガーする特定のビットフラグを設定
3. TGT の抽出: KDC 応答を解析し、偽造された TGT を抽出
4. チケットの出力: Impacket、Mimikatz、その他のツールで使用できるよう TGT を Kirbi ファイルとして保存

詳細な攻撃フロー

Attacker                         Domain Controller (KDC)
   |                                      |
   |  AS-REQ (forged PA-PAC-REQUEST)      |
   |  - cname: Administrator              |
   |  - sname: krbtgt/DOMAIN              |
   |  - padata: PA-PAC-REQUEST +          |
   |    forged auth-data                  |
   |------------------------------------->|
   |                                      |
   |  [Vulnerable Path]                   |
   |  1. KDC receives AS-REQ             |
   |  2. Checks PA-PAC-REQUEST flag      |
   |  3. **Bypasses pre-auth check**     |
   |  4. Skips PAC verification          |
   |  5. Generates TGT with arbitrary    |
   |     groups via auth-data            |
   |                                      |
   |  AS-REP (forged TGT)                 |
   |  - Encrypted with krbtgt key        |
   |  - Contains forged PAC              |
   |<-------------------------------------|
   |                                      |
   |  TGS-REQ (use forged TGT)           |
   |  - Request service ticket           |
   |  - For any service (CIFS, LDAP,     |
   |    HTTP, HOST)                       |
   |------------------------------------->|
   |                                      |
   |  TGS-REP (service ticket)           |
   |  - Legitimate service ticket        |
   |  - Attacker can now access          |
   |    any resource                     |
   |<-------------------------------------|

緩和策

即時対応

1. Microsoft 2025年8月 Patch Tuesday 更新プログラムを適用する — これが主な修正策です。対応する KB については、上記の影響を受けるバージョンの表を参照してください。

2. 悪用の試みを監視する:

   • イベント ID 4768 (Kerberos 認証チケットが発行されました) — 無効または異常な TGT 要求を探す
   • イベント ID 4769 (Kerberos サービスチケットが要求されました) — 異常なサービスチケットのパターンを探す
   • 不明なソースからのポート 88 上の予期しない Kerberos トラフィック

3. ネットワークセグメンテーション:

   • ドメインコントローラーへのポート 88/TCP-UDP アクセスを制限する
   • ファイアウォールを使用して Kerberos トラフィックを承認されたサブネットのみに制限する

4. 追加のログ記録を有効にする:

   • Kerberos ログ記録を有効にする (NetworkProvider\Kerberos\Operational)
   • PAC 検証の監査ログ記録を有効にする
   • 無効な PAC 署名を監視する

検出ルール

Sigma ルール (事前認証なしの AS-REQ):

title: CVE-2025-53779 Kerberos Authentication Bypass
logsource:
  product: windows
  service: security
detection:
  selection:
    EventID: 4768
    PreAuthenticationType: 0  # No pre-authentication required
  condition: selection
  falsepositives:
    - Users with "Do not require Kerberos preauthentication" set

回避策 (パッチを適用できない場合)

• Kerberos PAC 検証バイパスの無効化: パッチ適用前には公式の回避策は存在しませんが、組織は以下を実施できます:
  • ドメインコントローラーへのネットワークアクセス (ポート 88) を制限する
  • アプリケーションで認証の拡張保護 (EPA) を有効にする
  • 不正な形式の AS-REQ メッセージを検出するネットワーク侵入検知システム (NIDS) ルールを展開する

参考情報

1. Microsoft セキュリティレスポンスセンター - CVE-2025-53779
2. Microsoft 2025年8月 Patch Tuesday リリースノート
3. Microsoft セキュリティ更新プログラムガイド
4. MITRE ATT&CK - 代替認証マテリアルの使用: パス・ザ・チケット (T1550.003)
5. Impacket - Kerberos 操作のための Python ライブラリ
6. Kerberos プロトコル拡張 (RFC 4120)
7. MS-KILE: Kerberos プロトコル拡張
8. MS-PAC: 特権属性証明書データ構造

免責事項

このリポジトリは教育および許可されたセキュリティテストのみを目的として提供されています。所有していない、または明示的な書面によるテスト許可を得ていないシステムに対する CVE-2025-53779 の不正な悪用は違法です。著者らは、この情報の誤用について一切の責任を負いません。

ライセンス

このプロジェクトは MIT ライセンスの下でライセンスされています。詳細は LICENSE ファイルを参照してください。