في عالم الأمن السيبراني، تظهر تهديدات جديدة باستمرار، وآخرها استغلال Certighost الذي يمكّن مستخدمي Active Directory ذوي الامتيازات المنخفضة من انتحال شخصية وحدات تحكم المجال. في هذا المقال، نستعرض تفاصيل هذه الثغرة وكيفية التصدي لها.
استغلال Certighost يمكّن مستخدمي Active Directory ذوي الامتيازات المنخفضة من انتحال شخصية وحدة تحكم المجال
في 24 يوليو، نشر الباحثون H0j3n وAniq Fakhrul استغلالًا يعمل يمكّن مستخدم Active Directory ذو الامتيازات المنخفضة من الحصول على شهادة لوحدة تحكم المجال والمصادقة كأنها تلك الآلة.
تسمية الثغرة
أطلق الباحثون على الثغرة اسم Certighost. نظرًا لأن حسابات وحدة تحكم المجال تحمل حقوق تكرار الدليل، يمكن أن تسترجع بيانات اعتماد Kerberos الناتجة سر krbtgt من خلال DCSync.
تصحيح Microsoft
قامت Microsoft بتصحيح مشكلة خدمات شهادة Active Directory (AD CS) قبل عشرة أيام تحت اسم CVE-2026-54121. صنفت Microsoft الثغرة على أنها تفويض غير صحيح ومنحتها درجة CVSS تبلغ 8.8.
متطلبات الاستغلال
يتطلب الاستغلال الوصول إلى الشبكة وحساب مجال، ولكن لا حقوق إدارية أو تفاعل من المستخدم. في اختبار الباحثين، كان بإمكان حساب مستخدم المجال العادي إنشاء حساب جهاز تحت القيمة الافتراضية ms-DS-MachineAccountQuota التي تبلغ 10 أو إعادة استخدام واحد يتحكم فيه بالفعل.
توصيات للمنظمات
يجب على المنظمات التي تدير CA مؤسسية تثبيت تحديثات Microsoft الصادرة في 14 يوليو على مضيفي AD CS. اعتبارًا من 24 يوليو، لم يتم الإبلاغ عن استغلال في البرية من قبل أي مصدر رئيسي راجعته The Hacker News، ولكن كانت إثباتات المفهوم الكاملة متاحة للجمهور. عدم وجود تقارير لا يثبت أن الاستغلال لم يحدث.
توصيات إضافية
وثق الباحثون أيضًا طريقة تم اختبارها في المختبر لتعطيل عملية التتبع عندما لا يكون التصحيح الفوري ممكنًا، على الرغم من أنها قد تكسر تدفقات التسجيل الشرعية.
تحليل الثغرة
توجد الثغرة في عملية التتبع الخاصة بتسجيل AD CS. عندما لا تستطيع هيئة الشهادات (CA) الحصول على معلومات كيان نهائي، يسمح بروتوكول تسجيل Windows بأن يقدم الطلب cdc، وهو خادم Active Directory الذي سيتم الاتصال به، وrmd، وهو كائن الجهاز الذي سيتم حله.
وجد الباحثون أن CA تتبع المضيف cdc المقدم من الطالب عبر بروتوكول SMB وLDAP دون إثبات أنه وحدة تحكم مجال حقيقية أولاً.
كيفية الاستغلال
يمكن للمهاجم تشغيل خدمات LSA وLDAP غير الشرعية، ونقل تحدي مصادقة CA إلى وحدة تحكم المجال الحقيقية عبر Netlogon، وإرجاع objectSid وdNSHostName لوحدة تحكم المجال المستهدفة. قدم حساب الجهاز المتحكم الهوية المجال الصحيحة اللازمة لكي تستمر CA. قامت CA بمصادقة ذلك الحساب، ثم وقعت هوية وحدة تحكم المجال المستهدفة في الشهادة.
الأداة العامة للاستغلال
يعمل الاستغلال العام على أتمتة السلسلة. ينشئ حساب جهاز أو يعيد استخدام واحد محدد مع –computer-name. تبدأ الأداة مستمعين على المنافذ 445 و389 وتنقل تحدي CA إلى وحدة تحكم المجال الحقيقية عبر Netlogon. ثم تقدم سمات cdc وrmd وتكتب ملف PFX وذاكرة بيانات اعتماد Kerberos.
آلية المصادقة
يستخدم الاستغلال تشفير المفتاح العام للمصادقة الأولية في Kerberos (PKINIT) للمصادقة كأنها وحدة تحكم المجال المستهدفة. يمكن أن تطلب بيانات الاعتماد الناتجة أسرار الحسابات من خلال DCSync، بما في ذلك krbtgt.
تحليل التحديثات
وجد تحليل الباحثين الثنائي أن تحديث Microsoft في يوليو يضيف CRequestInstance::_ValidateChaseTargetIsDC إلى certpdef.dll قبل أن تتبع CA عملية التتبع. ترفض التحقق من عناوين IP، والأسماء الطويلة جدًا، وأحرف LDAP الخاصة. كما تتطلب وجود كائن حاسوب Active Directory واحد مطابق فقط يتطابق اسمه DNS مع الهدف ويحتوي userAccountControl على SERVER_TRUST_ACCOUNT (8192). يمنع مقارنة SID اللاحقة استبدال الكائن.
التأثير على الأنظمة
تم اختبار الاستغلال العام في غابة Windows Server 2016 أو أحدث مع CA مؤسسية، وقالب شهادة الجهاز الافتراضي، وحصة حساب الجهاز الافتراضية. تسرد سجلات NVD بشكل منفصل Windows Server 2012 حتى Windows Server 2025، بما في ذلك الإصدارات الأساسية المدرجة. كما تسرد إصدارات Windows 10 1607 و1809. كانت الثغرة غائبة عن كتالوج CISA للثغرات المعروفة المستغلة في 24 يوليو.
تاريخ الإبلاغ
أبلغ الباحثون عن الثغرة إلى Microsoft في 14 مايو. أكدت Microsoft ذلك في 22 مايو وقامت بتصحيحه في 14 يوليو. أبلغ الباحثون عن ذلك علنًا في 24 يوليو. يمكن للمسؤولين الذين لا يمكنهم التصحيح على الفور إلغاء علامة التتبع وإعادة تشغيل خدمات الشهادات:
certutil -setreg policyEditFlags -EDITF_ENABLECHASECLIENTDCRestart-Service CertSvc -Forceاختبر الباحثون أن هذا التخفيف فقط في مختبر مسيطر عليه. يوصون بتجربته أولاً ومعاملة تحديث يوليو كتصحيح دائم.
مع استمرار تطور التهديدات السيبرانية، من الضروري أن تبقى المنظمات على اطلاع دائم بأحدث الثغرات والتصحيحات. تأكد من تطبيق التحديثات اللازمة لحماية أنظمتك من استغلال Certighost.
