Eksploitasi PoC Certighost baru memungkinkan penyerang membajak domain Windows

Eksploitasi bukti konsep untuk “Certighost,” kerentanan Layanan Sertifikat Direktori Aktif Windows, telah dirilis yang memungkinkan penyerang terotentikasi berpotensi menyusupi domain Windows.

Dilacak sebagai CVE-2026-54121kerentanan telah diperbaiki oleh Microsoft sebagai bagian dari Juli 2026 Patch Selasa pembaruan keamanan.

“Penyerang yang diautentikasi dapat memanipulasi atribut yang terkait dengan akun mesin dan memperoleh sertifikat dari Layanan Sertifikat Direktori Aktif yang memungkinkan otentikasi sebagai mesin tersebut melalui PKINIT,” jelas Microsoft.

Jika penyerang dapat menargetkan akun pengontrol domain, Microsoft mengatakan mereka dapat mengautentikasi sebagai pengontrol domain dan melakukan operasi Direktori Aktif yang memiliki hak istimewa.

Peneliti keamanan H0j3n dan Aniq Fakhrul melaporkan kerentanan tersebut ke Microsoft pada 14 Mei 2026, dan Microsoft memperbaiki kelemahan tersebut pada pembaruan keamanan bulan Juli.

Pekan lalu, para peneliti secara terbuka mengungkapkan rincian teknis mengenai kerentanan tersebut, termasuk pelepasan eksploitasi yang dapat digunakan untuk mendapatkan kemampuan administratif tingkat domain.

“Certighost adalah kerentanan Layanan Sertifikat Direktori Aktif (AD CS) yang memungkinkan pengguna domain dengan hak istimewa rendah untuk meniru Pengontrol Domain dan mencapai kompromi domain dalam konfigurasi AD CS yang diuji,” demikian bunyinya. tulisan teknis peneliti.

Menyalahgunakan mekanisme pengejaran AD CS

Layanan Sertifikat Direktori Aktif (AD CS) adalah infrastruktur kunci publik Microsoft untuk domain Windows dan digunakan untuk menerbitkan sertifikat guna autentikasi dan komunikasi yang aman.

Selama autentikasi berbasis sertifikat, pengontrol domain memverifikasi akun Direktori Aktif mana yang memiliki sertifikat tersebut dan kemudian menerbitkan kredensial Kerberos.

Certighost memengaruhi mekanisme fallback yang digunakan oleh AD CS selama permintaan pendaftaran sertifikat, yang oleh peneliti disebut sebagai “pengejaran”, yang menggunakan dua nilai permintaan sertifikat:

• cdcatau Klien DC, mengidentifikasi server yang harus dihubungi oleh Otoritas Sertifikasi.

• rmdatau Domain Jarak Jauh, mengidentifikasi akun yang harus dicari CA.

Ketika kedua atribut diberikan, CA terhubung ke server yang ditentukan dalam cdc nilai dan mencari yang ditentukan rmd.

Namun, sistem sebelumnya tidak memverifikasi bahwa server dipasok melalui penyerang yang dikendalikan cdc value adalah pengontrol domain yang sah.

Hal ini memungkinkan penyerang menjalankan layanan SMB, LSA, dan LDAP jahat, mengarahkan CA ke sistem yang dikendalikan penyerang, dan mengembalikan informasi direktori palsu untuk akun mesin yang ditargetkan.

Dalam serangan yang ditunjukkan oleh para peneliti, pengguna dengan hak istimewa rendah terlebih dahulu membuat akun mesin, yang diizinkan berdasarkan konfigurasi default ms-DS-MachineAccountQuota.

“Akun mesin dibuat melalui default ms-DS-MachineAccountQuota pengaturannya adalah perwakilan domain yang valid,” demikian bunyi laporannya.

“Hal ini memungkinkan titik akhir pengejaran yang dikendalikan penyerang memenuhi pemeriksaan autentikasi yang diperlukan agar CA dapat melanjutkan, meskipun bukan Pengontrol Domain yang ditiru.”

Penyerang kemudian mengirimkan permintaan sertifikat yang mengarahkan CA ke layanan jahat dan menargetkan akun pengontrol domain. Karena CA memercayai informasi identitas yang dikembalikan oleh layanan yang dikendalikan penyerang, CA menerbitkan sertifikat yang dapat digunakan untuk mengautentikasi sebagai pengontrol domain tersebut dan melakukan operasi Direktori Aktif.

Yang dirilis bukti konsep certighost.py mengotomatiskan proses ini dengan menggunakan sertifikat untuk mengautentikasi melalui PKINIT sebagai pengontrol domain yang ditargetkan, menyimpan kredensial Kerberos yang dihasilkan ke file .ccache dan mengekstrak hash NT akun.

Para peneliti kemudian mendemonstrasikan penggunaan kredensial Kerberos yang disimpan dengan alat secretdump Ipacket untuk melakukan serangan DCSync dan mengambil kredensial akun krbtgt.

“Akun Pengontrol Domain memiliki hak replikasi direktori. Dengan kredensial Kerberos yang dihasilkan, penyerang dapat meminta rahasia akun, termasuk krbtgt rahasia,” jelas para peneliti.

Microsoft memperbaiki kerentanan sebagai bagian dari pembaruan Juli Patch Tuesday dengan menambahkan validasi ke proses pengejaran ini.

CA sekarang memverifikasi bahwa server yang ditentukan dalam cdc atribut dipetakan ke pengontrol domain yang sah di Direktori Aktif dan mengonfirmasi bahwa identitas yang dikembalikan cocok dengan akun yang diharapkan.

Untuk admin yang tidak dapat menginstal pembaruan keamanan bulan Juli, para peneliti mengatakan bahwa Anda dapat menonaktifkan fallback opsional menggunakan perintah berikut:

  certutil -setreg policyEditFlags -EDITF_ENABLECHASECLIENTDC  Restart-Service CertSvc -Force

Namun, para peneliti menekankan bahwa solusi ini hanyalah mitigasi sementara dan belum sepenuhnya diuji di lingkungan produksi. Oleh karena itu, admin harus memprioritaskan untuk menginstal pembaruan keamanan terbaru sesegera mungkin.