Certighostの脆弱性は、AD CSのあまり知られていないフォールバック機構を悪用し、認証局を騙して信頼済み証明書を発行させます。
マイクロソフトのActive Directory証明書サービス(AD CS)に存在する脆弱性を悪用すれば、権限の低いドメインユーザーがドメインコントローラーになりすませる可能性があると、セキュリティ研究者が警告しています。
「Certighost」と名付けられたこの欠陥は、認証局(CA)がディレクトリオブジェクトを解決する際に用いる「chase(追跡)」と呼ばれる登録フォールバック機構に起因しています。
この仕組みを悪用すれば、CAに正規のドメインコントローラーではなく攻撃者が操るIDを取り込ませることが可能になります。
研究者の@h0j3n氏と@aniqfakhrul氏はGitHubの投稿で次のように述べています。「cdcのようなリクエスト属性を細工することで、攻撃者はCAに対し、ドメインコントローラーに属するID情報を攻撃者が管理するホストへ問い合わせさせることができます。CAはその後、取得したデータを使って証明書を発行してしまいます」
マイクロソフトはこの問題を2026年7月のセキュリティ更新プログラムで修正しました。
証明書発行プロセス内の信頼関係を悪用
これまでに報告されてきた他のAD CS攻撃手法は、設定に不備のある証明書テンプレートや権限が緩い登録設定を悪用するものでした。しかしCertighostは、証明書発行のワークフローそのものを標的にしている点で異なります。
研究者らの説明によると、証明書リクエストにcdc(Client DC)属性とrmd(Remote Domain)属性が含まれている場合、CAは「chase」と呼ばれる二次的なディレクトリ検索を実行してID情報を解決することがあるといいます。
脆弱な構成では、CAはリクエスト元が指定したcdcの値を、参照先のサーバーが本物のドメインコントローラーかどうか検証しないまま信用してしまいます。
研究者らは次のように説明しています。「これにより攻撃者は、自らが管理するホスト上でLDAPおよびLSAサービスを稼働させ、CAをそのホストへ誘導し、任意のターゲットプリンシパルに対応するディレクトリデータを返させることが可能になっていました」
研究者らによれば、こうして得られたコントローラーのobjectSidやdNSHostNameといった値は発行される証明書に組み込まれ、認証時に使われるstrong SIDマッピングやDNSアイデンティティのフィールドに影響を及ぼす可能性があるといいます。
証明書自体は正規のものに見えるため、研究者らは、この攻撃の焦点が暗号技術そのものではなく、攻撃者が操作可能なディレクトリ検索に移っていると指摘しています。
研究者が脆弱なワークフローと修正後のワークフローを実演
概念実証(PoC)エクスプロイトにおいて、研究者らはエンタープライズCA、Windows Server Active Directory、デフォルトのMachine証明書テンプレート、そして権限の低いドメインユーザーアカウントを備えた標準的な企業ラボ環境を使用しました。
このエクスプロイトは、マシンアカウントの作成、証明書登録、ドメインコントローラーへのなりすましといった攻撃の全段階を自動化していました。
研究者らは、修正内容を理解するためにマイクロソフトの2026年7月のパッチを調査したと述べています。
パッチ適用済みバイナリと脆弱なバージョンを比較(diff)した結果、CAがchaseリクエストに応答する前にターゲットサーバーを検証する、追加の検証ステップが確認されました。
研究者らは次のように確認しています。「この検証ゲートが有効な場合、CAはchase処理を続行する前に、cdcで指定されたホスト名が実際のディレクトリ内にある正規のドメインコントローラーのコンピューターオブジェクトに解決されるかどうかを確認します。検証に失敗した場合、リクエストはchaseの続行ではなくエラー経路へと進みます」
マイクロソフトはすでにこの脆弱性を修正していますが、AD CSに依存する組織に対しては、証明書登録の挙動を継続的に監査し、公開されている証明書テンプレートを見直し、ドメインコントローラーと認証局に速やかにセキュリティ更新を適用するよう呼びかけられています。
研究者らは、まだ修正プログラムを適用できない組織向けにホットフィックスも提供しています。「7月の更新プログラムを直ちにインストールできない場合でも、ポリシーフラグによって脆弱なコードパスを完全に無効化できます」と述べ、chaseフォールバックはオプション機能であるため、このポリシーによって無効化できると付け加えています。
ただし研究者らは、このホットフィックスは管理されたラボ環境でのみ検証されたものであり、本番環境に適用する前には必ずステージング用のCAでテストするよう警告しています。
マイクロソフトはCSOのコメント要請に対し、即座には回答しませんでした。
