⚡ Não perca: notícia importante no ar! ⚡
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Autor: Len Noe, arquiteto de soluções, BeyondTrust
Todo ambiente maduro do Active Directory possui um componente que silenciosamente detém mais poder do que as pessoas que o executam normalmente admitem: a Autoridade de Certificação (CA). Aquilo em que todo o seu patrimônio concordou em acreditar.
Quando assina um certificado, cada máquina, serviço e fluxo de autenticação posterior trata essa assinatura como verdadeira. Isso representa uma enorme quantidade de confiança concentrada em um sistema, e a maioria das organizações o gerencia como um utilitário instalado uma vez e nunca mais pensado.
Certighost, rastreado como CVE-2026-54121, é um lembrete do que acontece quando essa confiança é perdida. Os pesquisadores publicaram uma prova de conceito funcional em 24 de julho de 2026, demonstrando que um usuário de baixo privilégio do Active Directory (mantendo nada mais do que uma conta de domínio padrão) pode coagir uma CA corporativa a emitir um certificado de autenticação válido para um controlador de domínio e, em seguida, usar esse certificado para se tornar o controlador de domínio.
A Microsoft enviou a correção em 14 de julho de 2026 e avaliou-a como 8,8 na escala CVSS.
O que o Certighost realmente faz
Os Serviços de Certificados do Active Directory são a infraestrutura de chave pública da Microsoft, emitindo e gerenciando os certificados que sustentam o logon com cartão inteligente, a autenticação de dispositivos e usuários e o acesso VPN. Um usuário de domínio padrão não tem como obter um certificado que representa um controlador de domínio, mas o Certighost quebra esse limite sem tocar em uma única lista de controle de acesso.
A falha reside em um comportamento de registro do AD CS conhecido como funcionalidade de “perseguição”. Quando uma autoridade de certificação corporativa não consegue resolver imediatamente o objeto de destino localmente, ela pode seguir as informações de roteamento fornecidas pelo solicitante (um parâmetro chamado cdc) para procurar o objeto em outro lugar.
O defeito é que a CA nunca verifica se o endpoint nomeado em cdc é um controlador de domínio legítimo antes de alcançá-lo. Um invasor aponta o cdc para uma máquina que ele controla e a CA obedientemente faz uma conexão de saída com esse endpoint não autorizado, que responde com dados de identidade forjados, incluindo o identificador de segurança do objeto do controlador de domínio alvo e o nome do host DNS.
A CA confia no que lhe é dito, vincula essa identidade a um certificado X.509 assinado e entrega ao invasor um certificado que afirma que ele é um Controlador de Domínio.
A partir daí, o ataque segue um caminho bem compreendido. O invasor usa o certificado com PKINIT, a extensão de chave pública para Kerberos, para obter um Ticket Granting Ticket como conta da máquina do Controlador de Domínio.
As contas do controlador de domínio possuem inerentemente direitos de replicação de diretório, o suficiente para executar uma operação DCSync em um controlador de domínio real e extrair material de credencial, até e incluindo o hash da conta krbtgt. Depois de obter o krbtgt, você pode falsificar tickets Kerberos à vontade e o domínio será funcionalmente seu.
Uma conta de usuário de domínio padrão foi suficiente nos testes porque as configurações padrão do Active Directory, incluindo o MachineAccountQuota padrão que permite que usuários comuns criem contas de máquina, forneceram tudo o que a cadeia precisava.
Até a divulgação pública, não houve exploração confirmada na natureza. Isso não é motivo para relaxar. Uma prova de conceito pública e funcional reduz o esforço necessário para reproduzir isso, e a lacuna entre “o PoC existe” e “as ferramentas de commodities o incluem” é medida em semanas, não em anos.
A vulnerabilidade é nova. O privilégio oculto não é.
A Certighost expôs como privilégios enterrados em relacionamentos confiáveis e padrões ignorados podem se tornar um caminho para o comprometimento do domínio.
A avaliação gratuita de riscos de segurança de identidade da BeyondTrust ajuda você a descobrir essas identidades ocultas e exposições de privilégios em seu próprio ambiente antes que se tornem o próximo caminho explorado pelos invasores.
Encontre o seu risco oculto
Este não é um bug de certificado. É uma falha de privilégio e confiança.
É tentador arquivar o Certighost sob os arcanos da PKI, atribuí-lo a quem possui a CA e seguir em frente assim que o patch chegar.
Retire o mecanismo de certificação e observe a forma do ataque: uma identidade sem privilégios manipulou um sistema confiável para garantir uma identidade privilegiada, e o ambiente não tinha nenhum mecanismo para questionar o resultado. Esse é um problema de validação de confiança que está no cerne da segurança de identidade.
A Autoridade de Certificação não é um dispositivo passivo. É uma identidade privilegiada por si só, que cria confiança em nome de todo o domínio. O patch lançado pela Microsoft é, em sua essência, uma etapa de verificação que garante que o alvo de uma pesquisa de perseguição é genuinamente um controlador de domínio.
Essa é a assinatura recorrente do comprometimento orientado à identidade: o invasor raramente quebra a criptografia ou a autenticação. Eles encontram o local onde o sistema decidiu confiar sem verificar.
Há uma segunda lição, mais desconfortável, enterrada no pr
Todo ambiente maduro do Active Directory possui um componente que silenciosamente detém mais poder do que as pessoas que o executam normalmente admitem: a Autoridade de Certificação (CA). Aquilo em que todo o seu patrimônio concordou em acreditar.
Quando assina um certificado, cada máquina, serviço e fluxo de autenticação posterior trata essa assinatura como verdadeira. Isso representa uma enorme quantidade de confiança concentrada em um sistema, e a maioria das organizações o gerencia como um utilitário instalado uma vez e nunca mais pensado.
Certighost, rastreado como CVE-2026-54121, é um lembrete do que acontece quando essa confiança é perdida. Os pesquisadores publicaram uma prova de conceito funcional em 24 de julho de 2026, demonstrando que um usuário de baixo privilégio do Active Directory (mantendo nada mais do que uma conta de domínio padrão) pode coagir uma CA corporativa a emitir um certificado de autenticação válido para um controlador de domínio e, em seguida, usar esse certificado para se tornar o controlador de domínio.
A Microsoft enviou a correção em 14 de julho de 2026 e avaliou-a como 8,8 na escala CVSS.
O que o Certighost realmente faz
Os Serviços de Certificados do Active Directory são a infraestrutura de chave pública da Microsoft, emitindo e gerenciando os certificados que sustentam o logon com cartão inteligente, a autenticação de dispositivos e usuários e o acesso VPN. Um usuário de domínio padrão não tem como obter um certificado que representa um controlador de domínio, mas o Certighost quebra esse limite sem tocar em uma única lista de controle de acesso.
A falha reside em um comportamento de registro do AD CS conhecido como funcionalidade de “perseguição”. Quando uma autoridade de certificação corporativa não consegue resolver imediatamente o objeto de destino localmente, ela pode seguir as informações de roteamento fornecidas pelo solicitante (um parâmetro chamado cdc) para procurar o objeto em outro lugar.
O defeito é que a CA nunca verifica se o endpoint nomeado em cdc é um controlador de domínio legítimo antes de alcançá-lo. Um invasor aponta o cdc para uma máquina que ele controla e a CA obedientemente faz uma conexão de saída com esse endpoint não autorizado, que responde com dados de identidade forjados, incluindo o identificador de segurança do objeto do controlador de domínio alvo e o nome do host DNS.
A CA confia no que lhe é dito, vincula essa identidade a um certificado X.509 assinado e entrega ao invasor um certificado que afirma que ele é um Controlador de Domínio.
A partir daí, o ataque segue um caminho bem compreendido. O invasor usa o certificado com PKINIT, a extensão de chave pública para Kerberos, para obter um Ticket Granting Ticket como conta da máquina do Controlador de Domínio.
As contas do controlador de domínio possuem inerentemente direitos de replicação de diretório, o suficiente para executar uma operação DCSync em um controlador de domínio real e extrair material de credencial, até e incluindo o hash da conta krbtgt. Depois de obter o krbtgt, você pode falsificar tickets Kerberos à vontade e o domínio será funcionalmente seu.
Uma conta de usuário de domínio padrão foi suficiente nos testes porque as configurações padrão do Active Directory, incluindo o MachineAccountQuota padrão que permite que usuários comuns criem contas de máquina, forneceram tudo o que a cadeia precisava.
Até a divulgação pública, não houve exploração confirmada na natureza. Isso não é motivo para relaxar. Uma prova de conceito pública e funcional reduz o esforço necessário para reproduzir isso, e a lacuna entre “o PoC existe” e “as ferramentas de commodities o incluem” é medida em semanas, não em anos.
A vulnerabilidade é nova. O privilégio oculto não é.
A Certighost expôs como privilégios enterrados em relacionamentos confiáveis e padrões ignorados podem se tornar um caminho para o comprometimento do domínio.
A avaliação gratuita de riscos de segurança de identidade da BeyondTrust ajuda você a descobrir essas identidades ocultas e exposições de privilégios em seu próprio ambiente antes que se tornem o próximo caminho explorado pelos invasores.
Encontre o seu risco oculto
Este não é um bug de certificado. É uma falha de privilégio e confiança.
É tentador arquivar o Certighost sob os arcanos da PKI, atribuí-lo a quem possui a CA e seguir em frente assim que o patch chegar.
Retire o mecanismo de certificação e observe a forma do ataque: uma identidade sem privilégios manipulou um sistema confiável para garantir uma identidade privilegiada, e o ambiente não tinha nenhum mecanismo para questionar o resultado. Esse é um problema de validação de confiança que está no cerne da segurança de identidade.
A Autoridade de Certificação não é um dispositivo passivo. É uma identidade privilegiada por si só, que cria confiança em nome de todo o domínio. O patch lançado pela Microsoft é, em sua essência, uma etapa de verificação que garante que o alvo de uma pesquisa de perseguição é genuinamente um controlador de domínio.
Essa é a assinatura recorrente do comprometimento orientado à identidade: o invasor raramente quebra a criptografia ou a autenticação. Eles encontram o local onde o sistema decidiu confiar sem verificar.
Há uma segunda lição, mais desconfortável, enterrada no pr
#samirnews #samir #news #boletimtec #certighost #e #o #privilégio #oculto #em #sua #autoridade #de #certificação
💡 Compartilhe e ajude nosso projeto a crescer!
Postar um comentário