Certighost Exploit Lets Low-Privileged Active Directory Users Impersonate a Domain Controller

Certighost : Vulnérabilité d’usurpation de contrôleur de domaine via AD CS

La faille Certighost permet à un utilisateur disposant de privilèges standards dans un environnement Active Directory d’obtenir un certificat valide pour un contrôleur de domaine (DC). En exploitant ce certificat, l’attaquant peut s’authentifier en tant que machine DC et utiliser l’attaque DCSync pour extraire des secrets critiques, tels que le compte krbtgt.

Points clés :

• Mécanisme : L’attaque abuse de la fonctionnalité de « chase » (repli) des services de certificats Active Directory (AD CS). Le serveur d’autorité de certification (CA) suit les instructions fournies par l’attaquant (cdc et rmd) sans vérifier l’identité réelle du contrôleur de domaine.
• Exploitation : L’attaquant met en place des services malveillants, relaie le défi d’authentification du CA vers un vrai contrôleur de domaine via Netlogon, et se fait passer pour la cible lors de la demande de certificat.
• Prérequis : Un compte utilisateur de domaine valide, un accès réseau vers le CA, et l’utilisation du modèle de certificat « Machine » par défaut.

Vulnérabilité :

• CVE-2026-54121 : Problème d’autorisation inappropriée dans AD CS (Score CVSS : 8.8).

Recommandations :

• Correctif prioritaire : Appliquer les mises à jour de sécurité Microsoft de juillet 2024 sur les hôtes AD CS, qui introduisent une validation stricte des cibles de « chase » via la fonction _ValidateChaseTargetIsDC.
• Atténuation temporaire : Si le patch ne peut être déployé immédiatement, il est possible de désactiver le repli (chase) via les commandes suivantes, tout en sachant que cela peut perturber l’enregistrement légitime des certificats :
  • certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC
  • Restart-Service CertSvc -Force
• Validation : Tester toute mesure d’atténuation dans un environnement de laboratoire avant un déploiement en production.

Source