Thought Leadership
Ein PoC-Exploit für die Lücke Certighost in Windows AD CS zeigt, wie Angreifer Domänencontroller kapern und Krbtgt-Hashes auslesen können.
Sicherheitsforscher haben einen funktionsfähigen Proof-of-Concept-Exploit (PoC) für eine Schwachstelle in den Active Directory Certificate Services (AD CS) von Microsoft veröffentlicht. Die unter der Kennung CVE-2026-54121 geführte und als Certighost bezeichnete Lücke wurde von Microsoft im Rahmen des Patch Tuesday im Juli 2026 behoben. Microsoft erklärte die Schwachstelle folgendermaßen: „Ein authentifizierter Angreifer könnte Attribute manipulieren, die einem Maschinenkonto zugeordnet sind, und ein Zertifikat von den Active Directory-Zertifikatdiensten erhalten, das die Authentifizierung als diese Maschine über PKINIT ermöglicht,“
Die Sicherheitsforscher H0j3n und Aniq Fakhrul hatten die Lücke am 14. Mai 2026 an Microsoft gemeldet und im Juli Veröffentlichungen sowie den Exploit bereitgestellt. In ihrem technischen Bericht führten die Forscher aus:
„Certighost ist eine Schwachstelle in den Active Directory-Zertifikatdiensten (AD CS), die es einem niedrig privilegierten Domänenbenutzer ermöglichte, sich als Domänencontroller auszugeben und in der getesteten AD CS-Konfiguration eine Domänenkompromittierung zu erreichen.“
Sicherheitsforscher H0j3n und Aniq Fakhrul
Ablauf des Angriffs und automatisierte Ausnutzung
Der Angriff nutzt eine Rückfalloption bei Zertifikatsanforderungen aus, die als Chase bezeichnet wird. Diese verwendet die Parameter cdc (Client DC) für den anzusprechenden Server und rmd (Remote Domain) für das zu suchende Konto. Da die Zertifizierungsstelle zuvor nicht überprüfte, ob der angegebene cdc-Server ein legitimer Domänencontroller war, konnten Angreifer gefälschte SMB-, LSA- und LDAP-Dienste aufsetzen und falsche Identitätsdaten einspeisen.
Ein Angreifer benötigt dafür lediglich einfache Benutzerrechte, um über die Standardeinstellung ms-DS-MachineAccountQuota ein Maschinenkonto zu erstellen. Die Forscher hielten dazu fest: „Ein Maschinenkonto, das über die Standardeinstellung ms-DS-MachineAccountQuota erstellt wurde, ist ein gültiger Domänenprinzipal.“
Das veröffentlichte Skript certighost.py automatisiert die Zertifikatsanforderung, führt eine Authentifizierung über PKINIT durch, speichert Kerberos-Anmeldedaten in einer CCACHE-Datei und liest den NT-Hash des Domänencontrollers aus. Anschließend ermöglicht das Werkzeug über Impacket secretsdump einen DCSync-Angriff zum Auslesen des krbtgt-Hashes. Die Forscher begründeten diesen Schritt wie folgt: „Ein Domänencontroller-Konto verfügt über Verzeichnisreplikationsrechte. Mit dem resultierenden Kerberos-Zugangsdaten-Token kann der Angreifer Kontogeheimnisse anfordern, einschließlich des krbtgt-Geheimnisses.“
Sicherheitsupdates für Windows und temporäre Behelfslösungen
Microsoft hat das Problem durch die Einführung einer strengen Validierung des cdc-Attributs im Juli-Update behoben. Die Zertifizierungsstelle prüft nun, ob der Server ein echter Domänencontroller in Active Directory ist.
Für Umgebungen, in denen die Juli-Sicherheitsupdates noch nicht eingespielt werden können, steht das Abschalten der optionalen Chase-Rückfalloption als Behelfslösung zur Verfügung. Dazu dienen die Befehle certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC und Restart-Service CertSvc -Force. Die Forscher betonen jedoch, dass dies nur eine vorübergehende Schutzmaßnahme darstellt und die Installation der offiziellen Patches Vorrang hat.
(red)
