🌟 Atualização imperdível para quem gosta de estar bem informado!
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Os pesquisadores H0j3n e Aniq Fakhrul publicaram uma exploração funcional em 24 de julho que permite que um usuário de baixo privilégio do Active Directory obtenha um certificado para um controlador de domínio e se autentique como essa máquina.
Eles deram o codinome da falha Certighost. Como as contas do Controlador de Domínio possuem direitos de replicação de diretório, a credencial Kerberos resultante pode recuperar o segredo krbtgt por meio do DCSync.
A Microsoft corrigiu o problema dos Serviços de Certificados do Active Directory (AD CS) dez dias antes como CVE-2026-54121. A Microsoft classificou a falha como autorização imprópria e atribuiu-lhe uma pontuação CVSS de 8,8.
A exploração requer acesso à rede e uma conta de domínio, mas nenhum direito de administrador ou interação do usuário. No teste dos pesquisadores, uma conta normal de Usuários de Domínio poderia criar uma conta de computador com o valor padrão ms-DS-MachineAccountQuota de 10 ou reutilizar uma que já fosse controlada.
A cadeia também exigia uma CA corporativa que seguisse o caminho da cadeia vulnerável, registro por meio do modelo de máquina padrão e acessibilidade de rede da CA aos ouvintes SMB e LDAP do invasor.
As organizações que executam uma CA corporativa devem instalar as atualizações de 14 de julho da Microsoft em hosts AD CS. Em 24 de julho, nenhuma fonte primária revisada pelo The Hacker News relatou exploração em estado selvagem, mas a prova de conceito completa era pública. Essa ausência de denúncia não prova que a exploração não ocorreu.
Os pesquisadores também documentaram uma maneira testada em laboratório de desativar o Chase Fallback quando a correção imediata não é possível, embora possa interromper os fluxos legítimos de inscrição.
O bug está em um substituto de registro do AD CS conhecido como perseguição. Quando uma autoridade de certificação (CA) não consegue obter as informações de uma entidade final, o protocolo de registro do Windows permite que uma solicitação forneça cdc, o servidor do Active Directory a ser contatado, e rmd, o objeto de máquina a ser resolvido.
Os pesquisadores descobriram que a CA seguiu o host cdc fornecido pelo solicitante através do Server Message Block (SMB) e do Lightweight Directory Access Protocol (LDAP) sem primeiro provar que era um controlador de domínio real.
Um invasor pode executar serviços LSA (Autoridade de Segurança Local) e LDAP não autorizados, retransmitir o desafio de autenticação da CA para o Controlador de Domínio real por meio do Netlogon e retornar o objectSid e o dNSHostName do Controlador de Domínio alvo. Uma conta de máquina controlada forneceu a identidade de domínio válida necessária para a CA continuar. A CA autenticou essa conta e, em seguida, assinou a identidade do controlador de domínio de destino no certificado.
A exploração pública automatiza a cadeia. Ele cria uma conta de computador ou reutiliza uma conta especificada com --nome do computador. A ferramenta inicia ouvintes nas portas 445 e 389 e retransmite o desafio da CA para o controlador de domínio real através do Netlogon. Em seguida, ele envia os atributos cdc e rmd e grava um arquivo PFX e um cache de credenciais Kerberos.
A exploração usa criptografia de chave pública para autenticação inicial em Kerberos (PKINIT) para autenticar como controlador de domínio de destino. A credencial resultante pode solicitar segredos da conta por meio do DCSync, incluindo krbtgt.
A análise binária dos pesquisadores descobriu que a atualização de julho da Microsoft adiciona CRequestInstance::_ValidateChaseTargetIsDC a certpdef.dll antes que a CA siga uma perseguição. A validação rejeita literais IP, nomes longos e metacaracteres LDAP. Também requer exatamente um objeto de computador do Active Directory correspondente cujo nome DNS corresponda ao destino e cujo userAccountControl inclua SERVER_TRUST_ACCOUNT (8192). Uma comparação posterior de SID bloqueia a substituição de objetos.
A exploração pública foi testada em uma floresta do Windows Server 2016 ou posterior com uma CA corporativa, o modelo de certificado de máquina padrão e a cota de conta de máquina padrão. O registro NVD lista separadamente o Windows Server 2012 até o Windows Server 2025, incluindo as edições Server Core listadas, conforme afetado. Ele também lista as versões 1607 e 1809 do Windows 10. A falha estava ausente do catálogo de vulnerabilidades exploradas conhecidas da CISA em 24 de julho.
Os pesquisadores relataram a falha à Microsoft em 14 de maio. A Microsoft a confirmou em 22 de maio e corrigiu-a em 14 de julho. Os pesquisadores a divulgaram publicamente em 24 de julho. Os administradores que não conseguirem corrigir imediatamente podem limpar o sinalizador de perseguição e reiniciar os Serviços de Certificados:
certutil -setreg política\EditFlags -EDITF_ENABLECHASECLIENTDC
Reiniciar serviço CertSvc -Force
Os pesquisadores testaram essa mitigação apenas em um laboratório controlado. Eles recomendam testá-lo primeiro e tratar a atualização de julho como uma solução permanente.
Eles deram o codinome da falha Certighost. Como as contas do Controlador de Domínio possuem direitos de replicação de diretório, a credencial Kerberos resultante pode recuperar o segredo krbtgt por meio do DCSync.
A Microsoft corrigiu o problema dos Serviços de Certificados do Active Directory (AD CS) dez dias antes como CVE-2026-54121. A Microsoft classificou a falha como autorização imprópria e atribuiu-lhe uma pontuação CVSS de 8,8.
A exploração requer acesso à rede e uma conta de domínio, mas nenhum direito de administrador ou interação do usuário. No teste dos pesquisadores, uma conta normal de Usuários de Domínio poderia criar uma conta de computador com o valor padrão ms-DS-MachineAccountQuota de 10 ou reutilizar uma que já fosse controlada.
A cadeia também exigia uma CA corporativa que seguisse o caminho da cadeia vulnerável, registro por meio do modelo de máquina padrão e acessibilidade de rede da CA aos ouvintes SMB e LDAP do invasor.
As organizações que executam uma CA corporativa devem instalar as atualizações de 14 de julho da Microsoft em hosts AD CS. Em 24 de julho, nenhuma fonte primária revisada pelo The Hacker News relatou exploração em estado selvagem, mas a prova de conceito completa era pública. Essa ausência de denúncia não prova que a exploração não ocorreu.
Os pesquisadores também documentaram uma maneira testada em laboratório de desativar o Chase Fallback quando a correção imediata não é possível, embora possa interromper os fluxos legítimos de inscrição.
O bug está em um substituto de registro do AD CS conhecido como perseguição. Quando uma autoridade de certificação (CA) não consegue obter as informações de uma entidade final, o protocolo de registro do Windows permite que uma solicitação forneça cdc, o servidor do Active Directory a ser contatado, e rmd, o objeto de máquina a ser resolvido.
Os pesquisadores descobriram que a CA seguiu o host cdc fornecido pelo solicitante através do Server Message Block (SMB) e do Lightweight Directory Access Protocol (LDAP) sem primeiro provar que era um controlador de domínio real.
Um invasor pode executar serviços LSA (Autoridade de Segurança Local) e LDAP não autorizados, retransmitir o desafio de autenticação da CA para o Controlador de Domínio real por meio do Netlogon e retornar o objectSid e o dNSHostName do Controlador de Domínio alvo. Uma conta de máquina controlada forneceu a identidade de domínio válida necessária para a CA continuar. A CA autenticou essa conta e, em seguida, assinou a identidade do controlador de domínio de destino no certificado.
A exploração pública automatiza a cadeia. Ele cria uma conta de computador ou reutiliza uma conta especificada com --nome do computador. A ferramenta inicia ouvintes nas portas 445 e 389 e retransmite o desafio da CA para o controlador de domínio real através do Netlogon. Em seguida, ele envia os atributos cdc e rmd e grava um arquivo PFX e um cache de credenciais Kerberos.
A exploração usa criptografia de chave pública para autenticação inicial em Kerberos (PKINIT) para autenticar como controlador de domínio de destino. A credencial resultante pode solicitar segredos da conta por meio do DCSync, incluindo krbtgt.
A análise binária dos pesquisadores descobriu que a atualização de julho da Microsoft adiciona CRequestInstance::_ValidateChaseTargetIsDC a certpdef.dll antes que a CA siga uma perseguição. A validação rejeita literais IP, nomes longos e metacaracteres LDAP. Também requer exatamente um objeto de computador do Active Directory correspondente cujo nome DNS corresponda ao destino e cujo userAccountControl inclua SERVER_TRUST_ACCOUNT (8192). Uma comparação posterior de SID bloqueia a substituição de objetos.
A exploração pública foi testada em uma floresta do Windows Server 2016 ou posterior com uma CA corporativa, o modelo de certificado de máquina padrão e a cota de conta de máquina padrão. O registro NVD lista separadamente o Windows Server 2012 até o Windows Server 2025, incluindo as edições Server Core listadas, conforme afetado. Ele também lista as versões 1607 e 1809 do Windows 10. A falha estava ausente do catálogo de vulnerabilidades exploradas conhecidas da CISA em 24 de julho.
Os pesquisadores relataram a falha à Microsoft em 14 de maio. A Microsoft a confirmou em 22 de maio e corrigiu-a em 14 de julho. Os pesquisadores a divulgaram publicamente em 24 de julho. Os administradores que não conseguirem corrigir imediatamente podem limpar o sinalizador de perseguição e reiniciar os Serviços de Certificados:
certutil -setreg política\EditFlags -EDITF_ENABLECHASECLIENTDC
Reiniciar serviço CertSvc -Force
Os pesquisadores testaram essa mitigação apenas em um laboratório controlado. Eles recomendam testá-lo primeiro e tratar a atualização de julho como uma solução permanente.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #a #exploração #do #certighost #permite #que #usuários #do #active #directory #com #poucos #privilégios #representem #um #controlador #de #domínio
🎉 Obrigado por acompanhar, até a próxima notícia!
Postar um comentário