誤ったマシンに発行された証明書一枚で、標準的なアカウントがドメイン乗っ取りの武器へと変貌します。最近、セキュリティ研究者のH0j3n氏とAniq Fakhrul氏は、Certighost脆弱性を通じてこの深刻なシナリオを実証しました。これにより、権限を持たない一般ユーザーでもドメインコントローラーの証明書を要求し、サーバー自身になりすまして認証を通過できてしまいます。
CVE-2026-54121とAD CSのリスクについて
CVE-2026-54121として登録されたこの深刻な脆弱性は、Active Directory Certificate Services(AD CS)に影響を及ぼします。Microsoftはこの欠陥をアクセス制御の回避と分類し、CVSS深刻度スコア8.8を割り当てました。さらにMicrosoftは7月14日に公式パッチをリリースし、7月24日には概念実証(PoC)が公開されています。
注目すべきは、この攻撃が管理者権限を一切必要としない点です。攻撃者に必要なのはネットワークアクセスと標準的なDomain Usersアカウントだけです。研究者らはラボ環境でのテストにおいて、標準アカウントを使いms-DS-MachineAccountQuotaを通じて新規コンピューターオブジェクトを登録しました。あるいは、既に侵害済みのマシンアカウントを悪用することも可能です。
Certighostエクスプロイトチェーンの仕組み
この攻撃はAD CS証明書発行ワークフロー内の「chase(追跡)」メカニズムを標的とします。認証局が対象オブジェクトの詳細を特定できない場合、Windowsのプロトコルでは要求側でActive Directoryサーバーを指定できる仕様になっています。ここで研究者らは、AD CSが指定されたサーバーに対しSMBおよびLDAP経由で接続する際、それが正規のドメインコントローラーであるかどうかを検証していないことを発見しました。
H0j3n氏が公開した概念実証エクスプロイトによると、攻撃者はなりすましたLSAおよびLDAPサービスを稼働させることができます。続いて攻撃者は、認証局からの認証要求をNetlogon経由で正規のドメインコントローラーへ中継します。この結果、認証局は攻撃者に対して有効なドメインコントローラー証明書を発行してしまうのです。
DCSyncによるドメイン乗っ取りと対策
この偽造証明書を手にした攻撃者は、Kerberos PKINITを通じてドメインコントローラーとして認証を通過します。その結果、攻撃者はDCSyncを介してドメインの秘密情報を抽出し、極めて重要なkrbtgtアカウントの鍵を侵害します。自動化されたツールにより、Windows Server 2016以降で構築されたフォレスト全体にわたってこの一連の攻撃チェーンが実行されます。
この脅威を無力化するため、管理者は直ちにMicrosoftの7月のセキュリティ更新プログラムを適用する必要があります。また、パッチ適用に時間を要する場合は、テスト期間中に限りリファラル追跡(referral chase)メカニズムを一時的に無効化することも可能です。最終的には、Microsoftの公式アップデートを適用することが唯一の恒久的な解決策となります。
翻訳元: https://meterpreter.org/certighost-ad-cs-vulnerability/
