ResetNightmare

ResetNightmare (CVE-2026-27912) の Proof-of-concept (POC) ツールです。

ResetNightmare は、Kerberos Change Password プロトコルにおける検証の欠陥であり、現在のパスワードを知らなくても、任意のターゲットユーザー/コンピュータアカウントのパスワードをリセットできるようにするものです。 この攻撃には、パッチ未適用のドメインコントローラと、自分が制御する任意のアカウントに userPrincipalName (UPN) を書き込む権限が必要です。 あるいは、任意の OU に新しいユーザー/コンピュータを作成できる攻撃者も、この脆弱性を悪用できます。ユーザー/コンピュータを作成すると、そのオブジェクトに対する GenericWrite 権限を得られるためです。

攻撃の流れ

このスクリプトは攻撃の一連の流れ全体を自動化し、実行後は後片付けも行います。 攻撃の流れは次のとおりです。

1. 攻撃者は、UPN を書き込むことができるユーザーまたはコンピュータを保持します。これは、既存のものを指定するか、-CreateNewPath を使用して作成できます。
2. 攻撃者は、自分が制御するアカウントの UPN を、ターゲットの sAMAccountName（例: "Administrator"）に設定します。
3. 次に攻撃者は、名前タイプ NT-ENTERPRISE で "Administrator" ユーザー名の TGT を要求できます。この TGT は kadmin/changepw SPN に対して要求されます。
4. 攻撃者は自分の UPN をクリアし、自分自身に解決される UPN を持つのはターゲットだけの状態にします。
5. その後、攻撃者は取得した TGT を使用して、以前の値を知ることなく "Administrator" ユーザーのパスワードをリセットします。
6. 攻撃が成功すると、ターゲットのパスワードは変更され、攻撃者は新しい資格情報を使用して認証できるようになります。

ユーザーアカウントとコンピュータアカウントの両方をターゲットにできます。

必要条件

• PowerShell が利用可能な Windows。
• ActiveDirectory PowerShell モジュール。
• このスクリプトは Rubeus.exe を使用します。.NET Framework 4.6.2 向けにコンパイルされた Rubeus でテストされています。 現在のディレクトリに配置するか、-RubeusPath で場所を指定してください。
• 以下のいずれか:
  • UPN を書き込むことができる、自分が制御するドメインアカウント。
  • OU/コンテナ内にアカウントを作成する権限（-CreateNewPath で指定）。
• ターゲットとなるパッチ未適用の DC。-DC で指定できます。

使用方法

スクリプトをドットソースして関数を読み込んでから、次のように呼び出します:

. .\ResetNightmare.ps1

Invoke-ResetNightmare `
    -TargetAccount "victim" `
    -TargetNewPassword "NewP@ssw0rd!" `
    -UPNUser "controlledUser" `
    -UPNUserPassword "ControlledP@ss!"

コンピュータアカウントをターゲットにする場合

-TargetAccount には sAMAccountName（末尾に $ が付きます）を使用します:

Invoke-ResetNightmare `
    -TargetAccount 'server$' `
    -TargetNewPassword "NewP@ssw0rd!" `
    -UPNUser "controlledUser" `
    -UPNUserPassword "ControlledP@ss!"

新しい制御用アカウントを作成する場合

OU/コンテナ内にオブジェクトを作成する権限がある場合、-CreateNewPath を使用して OU/コンテナの DN を指定できます。指定した場合、-UPNUser と -UPNUserPassword は、ドメイン内の既存アカウントではなく、作成するアカウントの資格情報として扱われます:

Invoke-ResetNightmare `
    -TargetAccount "victim" `
    -TargetNewPassword "NewP@ssw0rd!" `
    -UPNUser "attackerAcct" `
    -UPNUserPassword "AttackerP@ss!" `
    -CreateNewPath "OU=Temp,DC=demo,DC=lab"

ユーザーアカウントの代わりにコンピュータアカウントを作成/使用するには、-Computer を追加します。

パラメータ

免責事項
このコンテンツは、教育および情報提供のみを目的として提供されています。これは、あなたが所有する、またはテストを許可されたシステムに存在する可能性のあるセキュリティ脆弱性についての認識を高め、責任ある修正を促進することを意図しています。悪意のある目的、悪用、または不正アクセスのためにこの情報を無断で使用することは固く禁じられています。著者は違法行為を支持または容認せず、本資料の誤用から生じるいかなる責任も負いません。さらに、著者はコンテンツの正確性や完全性を保証せず、その使用によって生じた損害についても責任を負いません。