🛡 Модуль AI Security Tool
CVE-2026-54121: Подмена удостоверений в Active Directory Certificate Services (Certighost)

Официальный модуль аудита безопасности для экосистемы AI Security Tool

🌐 Веб-демо • 📚 Сайт проекта • 💬 Чат сообщества

Навигация по сайту: Главная • Обновления • Загрузки • Модули

🧠 Концептуальный обзор

Этот модуль предоставляет диагностические возможности для CVE-2026-54121, получившей название Certighost. Уязвимость существует в Active Directory Certificate Services (AD CS) на этапе проверки при регистрации сертификатов компьютерных учётных записей.

Злоумышленник, обладающий стандартными низкопривилегированными учётными данными домена, создаёт новую компьютерную учётную запись и отправляет запрос на сертификат, содержащий подконтрольные атрибуты cdc (controlled IP listener) и rmd (target DC FQDN). Когда центр сертификации (CA) устанавливает обратное соединение для проверки подлинности машины, поддельные слушатели LDAP (порт 389) и SMB/LSA (порт 445) подменяют атрибуты идентичности целевого контроллера домена (sAMAccountName, SID, dNSHostName). Это заставляет CA выдать подлинный сертификат контроллера домена, что позволяет полностью скомпрометировать домен через PKINIT.

🎯 Основная суть воздействия

«Аутентифицируйся как машина — повысь привилегии до всего домена».
Certighost обходит традиционные разрешения шаблонов AD CS, отравляя конвейер разрешения идентичности CA. Получение действительного сертификата контроллера домена даёт мгновенную аутентификацию PKINIT, предоставляя как кэш учётных данных TGT (.ccache), так и NT-хэш целевого контроллера домена.

📊 Характеристики уязвимости

🕸 Сценарий атаки и архитектура

graph TD
    A[Low-Priv Domain User] -->|1. Create Computer Account| B[Domain Controller]
    A -->|2. Start Rogue SMB 445 / LDAP 389 Listeners| C[Attacker Machine]
    A -->|3. Submit Cert Request with cdc & rmd Attributes| D[Active Directory CA]
    D -->|4. CA Lookups Connect to Rogue Listeners| C
    C -->|5. Validate via Netlogon & Return Target DC Identity| D
    D -->|6. Issue Valid DC Certificate .pfx| A
    A -->|7. Perform PKINIT with DC Certificate| E[Full Domain Takeover / NT Hash Export]

🛡 Контрольный список мер защиты

• 🟢 Установите обновления безопасности: Разверните официальные исправления Microsoft, устраняющие CVE-2026-54121, на всех серверах AD CS.
• 🟢 Ограничьте создание компьютерных учётных записей: Установите для ms-DS-MachineAccountQuota значение 0, чтобы запретить непривилегированным пользователям создавать новые объекты компьютеров.
• 🟡 Усиление защиты AD CS: Отключите уязвимые шаблоны сертификатов и убедитесь, что EDITF_ATTRIBUTESUBJECTALTNAME2 (ESC6) отключён, если он явно не требуется.
• 🟡 Сетевая фильтрация: Блокируйте исходящий трафик SMB (445) и LDAP (389) с серверов CA к произвольным рабочим станциям.

💻 Как запустить этот модуль

⚠️ ВАЖНО: Этот модуль предназначен для безопасного диагностического тестирования в рамках платформы AI Security Tool. Запускайте его только против авторизованных целей с повышенными административными привилегиями.

1️⃣ Установите AI Security Tool

Для запуска диагностических и мониторинговых скриптов установите базовую платформу AI Security Tool:

2️⃣ Установка зависимостей и запуск

Установите необходимые библиотеки Python для поддельных слушателей LDAP/SMB и работы с сертификатами:

# Install python dependencies
sudo pip install --break-system-packages git+https://github.com/fortra/impacket.git cryptography pyasn1 asn1crypto pycryptodome dnspython

# Execute Certighost proof-of-concept (Requires root for ports 389/445)
sudo python3 certighost.py -d playground.local -u lowpriv -p 'Password1234' --dc-ip 192.168.1.10

🔍 Модули аудита безопасности и репозитории PoC

Модули сканеров уязвимостей, PoC-скрипты и исследовательские репозитории, поддерживаемые нашим сообществом:

⚖️ Лицензия и правовая оговорка

🚨 Отказ от ответственности

Этот инструмент и анализ безопасности предоставляются строго для авторизованного аудита систем, защитных исследований и работ по тестированию на проникновение.
Использование CVE-2026-54121 против доменных сред без явного письменного разрешения владельца системы является незаконным. Авторы не несут ответственности за несанкционированную компрометацию домена, потерю данных или нарушения в работе систем.

🔄 Вклад и сообщество

Мы приветствуем вклад сообщества исследователей безопасности! Основные направления для вклада:

1. Интеграции с ИИ: Добавление новых провайдеров LLM и разработка специализированных агентов безопасности.
2. Инструменты безопасности: Разработка модулей уязвимостей и интеграция CLI-сканеров.
3. Оптимизация: Повышение скорости парсинга, безопасности выполнения и логики кэширования.
4. Документация: Написание исследовательских работ, руководств и локализованных переводов.

🔗 Контакты и поддержка

• Официальный сайт: ZeroDayEvil.com
• Технический анализ: Разбор в Gist от H0j3n
• Рекомендации MSRC: Руководство по CVE-2026-54121
• Администратор Telegram: @ZeroDayEvil
• Чат Telegram: @ZeroDyaTool_chat
• Канал Telegram: @ZeroDyaTool_channel
• Поддержать проект: Пожертвования через PayPal
• Open Collective: opencollective.com/ZeroDayEvil

AI Security Tool — переосмысление терминального рабочего процесса и автоматизации для специалистов по кибербезопасности.