detect-CVE-2026-25177

CVE-2026-25177 — Active Directory SPN 유니코드 충돌 취약점(CVSS 8.8)의 악용을 탐지하는 프로덕션 환경에서 안전한 스캐너입니다.

이 취약점은 SPN 쓰기 권한이 있는 모든 인증된 사용자가 서비스 사용자 이름(SPN)에 유니코드 문자를 주입하여 SYSTEM 권한으로 권한을 상승시킬 수 있게 하며, AD의 중복 SPN 검증을 우회하고 Kerberos 티켓 오발급을 유발합니다.

탐지 항목

SPN 내 유니코드 문자 — SPN 중독을 나타내는 제로 너비 공백, 호모글리프, BOM 마커 및 기타 보이지 않거나 혼동을 유발하는 문자
계정 간 중복 SPN — 동일한 SPN(대소문자 구분 없음)을 보유한 여러 계정으로, Kerberos 티켓 오발급을 유발할 수 있음
사용자 계정의 최근 SPN 수정 — 구성 가능한 시간 창 내에 변경된 SPN을 플래그하여 활성 악용을 탐지

프로덕션 환경에서 안전

읽기 전용 — LDAP 연결이 read_only=True로 열리며 수정이 불가능합니다
단일 LDAP 쿼리 — setspn -Q와 같은 내장 도구에서 사용하는 것과 동일한 경량 쿼리인 (servicePrincipalName=*)을 검색합니다
빠름 — 15,000개 이상의 계정이 있는 환경에서도 1분 이내에 완료됩니다
낮은 권한 — 모든 인증된 도메인 사용자가 실행할 수 있습니다(기본 AD 읽기 권한으로 충분)

빠른 시작

pip install -r requirements.txt

# 도메인에 가입된 머신에서 — DC, 도메인, 사용자 이름 자동 감지
# 비밀번호를 안전하게 프롬프트(터미널이나 명령 기록에 표시되지 않음)
python detect_spn_abuse.py

# CSV 보고서 및 최근 변경 감지와 함께 자동 감지
python detect_spn_abuse.py --csv report.csv --days 7

# 사용자 이름만 지정(나머지는 자동 감지)
python detect_spn_abuse.py -u svc_scanner

# 완전 수동
python detect_spn_abuse.py -dc dc01.corp.local -d corp.local -u scanner_svc

# LDAPS 사용(포트 636)
python detect_spn_abuse.py --use-ssl

detect_CVE-2026-25177

인기

출력 예시

예약 작업으로 실행

배경

라이선스