AD漏洞预警(严重):任意域用户可获得域管理权限,极易引发勒索事件

渗透技巧 2年前 (2021) admin
1,070 0 0


2021年12月12日,中安网星身份安全研究中心监测到GitHub上公开了CVE-2021-42287/CVE-2021-42278 权限提升漏洞POC。


Active Directory 是大部分企业内部的核心身份基础设施,负责大量系统的身份认证与计算机管理。域内管理权限涉及企业身份核心,一直以来都是企业内网安全的重要关注内容。
本次披露的CVE-2021-42287/CVE-2021-42278 权限提升漏洞可将域内的任意用户提升域管权限,对企业身份认证及相关数据资产造成了严重威胁
中安网星身份安全平台研究中心提醒 Active Directory 用户:尽快采取安全措施,预防该漏洞攻击
目前,智域目录安全平台基于事前安全检查、事中安全监控、事后安全修复的整体AD安全防护解决方案,可有效阻止由该漏洞来的权限提升攻击。

以下是有关该漏洞以及相关预防措施的详细内容。

1、漏洞风险等级评定

AD漏洞预警(严重):任意域用户可获得域管理权限,极易引发勒索事件

2、漏洞概述

在 AD 域中请求ST票证时,首先需要提供 TGT票据。当 KDC 未找到请求的ST票证时,KDC 会自动再次搜索带有$结尾的用户。

漏洞原理:如果获得了 DC 用户的TGT票据且域内有一台名为DC$域控,再将DC用户删除,此时使用该 TGT去请求s4u2self,如果域控制器帐户DC$存在,那么DC就能获得域控制器帐户(机器用户DC$)的ST票证。

假如域内有一台域控名为 DC(域控对应的机器用户为 DC$),此时攻击者利用漏洞 CVE-2021-42287 创建一个机器用户ZAWX$,再把机器用户ZAWX$的sAMAccountName改成DC。然后利用DC去申请一个TGT票据。再把DC的sAMAccountName改为ZAWX$。这个时候KDC就会判断域内没有DC和这个用户,自动去搜索DC$(DC$是域内已经的域控DC的sAMAccountName),攻击者利用刚刚申请的TGT进行S4U2self,模拟域内的域管去请求域控DC的ST票据,最终获得域控制器DC的权限。

漏洞复现利用截图:
AD漏洞预警(严重):任意域用户可获得域管理权限,极易引发勒索事件
中安网星智域目录安全平台已于2021年12月12日发布漏洞检测规则与修复措施,已部署目录安全平台的客户请尽快安排升级,未部署目录安全平台的企业请尽快采取相关安全措施阻止漏洞攻击。

3、修复建议

1、安装补丁KB5008602、KB5008380

2、通过域控的 ADSI 编辑器工具将 AD 域的MAQ配置为0,此做法将中断此漏洞的利用链。

AD漏洞预警(严重):任意域用户可获得域管理权限,极易引发勒索事件

同时可以通过智域平台扫描 MAQ 值是否配置正确。

AD漏洞预警(严重):任意域用户可获得域管理权限,极易引发勒索事件

4、智域目录安全平台解决方案

针对CVE-2021-42287/CVE-2021-42278 权限提升漏洞,智域目录安全平台已经支持对该漏洞进行检测预警:
AD漏洞预警(严重):任意域用户可获得域管理权限,极易引发勒索事件
AD漏洞预警(严重):任意域用户可获得域管理权限,极易引发勒索事件
在检测到相关威胁行为后,可通过隔离攻击来源,阻断攻击链,有效阻止该攻击行为后续可能造成的AD失陷问题。
了解相关漏洞及最新详情,请关注中安网星公众号,后台留言漏洞”获取“漏洞缓解方案”。

同时也可以通过公众号留言联系中安网星AD安全研究人员,获取相关技术支持,我们也将同步更新研究最新进展。

参考来源:

https://exploit.ph/cve-2021-42287-cve-2021-42278-weaponisation.html

AD漏洞预警(严重):任意域用户可获得域管理权限,极易引发勒索事件

END


AD漏洞预警(严重):任意域用户可获得域管理权限,极易引发勒索事件

智域——是中安网星研发的一款针对域的安全管理产品,适用基于WINDOWS AD域构建的企业内网。作为企业内部安全防线的核心环节,检测能力覆盖内网攻击杀伤链全部维度及大部分手法,可辅助企业建立域环境的整体安全防护体系,提高应对针对公司级别高级攻击活动的感知与预警能力。


AD漏洞预警(严重):任意域用户可获得域管理权限,极易引发勒索事件

原文始发于微信公众号(中安网星):AD漏洞预警(严重):任意域用户可获得域管理权限,极易引发勒索事件

版权声明:admin 发表于 2021年12月12日 上午8:29。
转载请注明:AD漏洞预警(严重):任意域用户可获得域管理权限,极易引发勒索事件 | CTF导航

相关文章

暂无评论

您必须登录才能参与评论!
立即登录
暂无评论...