LONDON (IT BOLTWISE) – Ein neu veröffentlichter Exploit zeigt, wie Angreifer in Active Directory Certificate Services (AD CS) mit niedrigen Rechten Zertifikate für Domain-Controller anfordern und sich anschließend als diese Systeme authentifizieren können. Die Kette nutzt den AD-Enrollment-Fallback „chase“, um einen Zertifizierungsstellen-Workflow über manipulierte DC-Identitäten zu lenken. Microsoft hat die Schwachstelle als fehlerhafte Autorisierung eingestuft und bereits mit Updates adressiert. Entscheidend ist jetzt die Frage, wie schnell Enterprise-CAs nachgezogen werden können und welche Zwischenmaßnahmen in der Übergangszeit funktionieren.
Active Directory bleibt für viele Unternehmen das zentrale Identitäts- und Vertrauensgeflecht – und genau dort sitzt nun ein Ansatzpunkt, der laut veröffentlichter Analyse besonders unangenehm ist: Über Zertifikats-Interaktion mit AD CS können auch Accounts ohne Administratorrechte die Identität eines Domain Controllers „nachbauen“. Die Forschenden haben dafür den Namen Certighost gewählt und beschrieben, wie ein niedrig privilegierter Domain-User eine Zertifikatsausstellung so anstoßen kann, dass am Ende ein Kerberos-Kontext entsteht, der gegen Replikationsrechte verwertbar wird.
Technisch beginnt der Angriff nicht beim klassischen „Pass-the-Hash“- oder „Ticket“-Spiel, sondern bei einem Zertifikats-Ausstellungsprozess der Active Directory Certificate Services (AD CS). Microsoft hat die Schwachstelle als improper authorization klassifiziert und einen CVSS-Wert von 8,8 vergeben. Laut Bericht wurde das Problem bereits zehn Tage vor der Exploit-Veröffentlichung geschlossen: AD CS wurde am 14. Juli gepatcht, nachdem Microsoft die Lücke im Zeitraum Anfang Sommer bestätigt hatte. Für die Praxis heißt das: Wer eine Enterprise CA betreibt und den Update-Stand nicht nachzieht, setzt eine Komponente ein, die sich in einem bestimmten Enrollment-Fallback anders verhält als erwartet.
Die eigentliche Abkürzung zur DC-Impersonation liegt in der AD-Enrollment-Logik namens „chase“. Wenn eine Zertifizierungsstelle (CA) die notwendigen Informationen über den Request nicht direkt bekommt, erlaubt der Windows Enrollment-Mechanismus dem Antrag, Attribute wie cdc (welcher Active-Directory-Server kontaktiert werden soll) und rmd (welches Machine-Objekt aufgelöst wird) bereitzustellen. Die Forschenden zeigen, dass die CA in der betroffenen Version „dem requester-supplied cdc host“ folgt – und zwar über SMB und LDAP, ohne zuvor in ausreichendem Maß nachzuprüfen, ob es sich wirklich um einen echten Domain Controller handelt. Das öffnet die Tür für eine Umleitung: Ein Angreifer kann eigene SMB-/LDAP-Dienste bereitstellen, die Authentifizierungsanfragen der CA abgreifen und über Netlogon an den realen DC „zurückvermitteln“.
Damit entsteht ein kontrolliertes Identitätsfundament. In der dokumentierten Kette wird ein Computer-Account benötigt, der entweder neu erstellt oder wiederverwendet wird. Als Stellhebel nennen die Forschenden den Standardwert ms-DS-MachineAccountQuota von 10: Ein normaler Domain Users-Account kann so im Default-Fall ein Computerobjekt anlegen oder ein bereits verwaltetes Objekt wieder nutzen. Anschließend werden genau die Attribute so gesetzt, dass die CA die Identität des Ziel-Domain-Controllers in ein Zertifikat übernimmt. Im Ergebnis kann der Angreifer mit der erzeugten Kerberos-Authentisierung Konten-Informationen über DCSync anfragen – und damit auch an hochsensible Secrets wie krbtgt gelangen, die für die Kerberos-Trust-Umgebung zentral sind.
Der veröffentlichte Exploit automatisiert diese Kette bis in die Ausgabeartefakte hinein. Er legt zunächst einen Computeraccount an bzw. greift auf den mit –computer-name angegebenen zu, startet Listener auf den Ports 445 und 389, relayt die CA-Herausforderung in Richtung des realen Domain Controllers über Netlogon und reicht dann die cdc– und rmd-Attribute nach. Danach schreibt das Tool eine PFX-Datei sowie einen Kerberos Credential Cache. Für den Kerberos-Teil wird dabei PKINIT (Public Key Cryptography for Initial Authentication) genutzt, um sich als der Ziel-Domain-Controller zu authentifizieren. Aus Verteidigungssicht ist besonders relevant, dass Microsoft mit dem Patch genau an der Stelle nachjustiert hat, an der der Enrollment-Fallback in die Irre laufen konnte.
Im Fix wurde laut binärer Analyse eine zusätzliche Validierung in certpdef.dll ergänzt: CRequestInstance: : _ValidateChaseTargetIsDC. Diese Logik verwirft u. a. IP-Literale, überlange Namen sowie LDAP-Metazeichen und fordert zudem eine sehr enge Zuordnung: Es muss genau ein passendes Active-Directory-Computerobjekt existieren, dessen DNS-Name mit dem Ziel übereinstimmt und dessen userAccountControl den Wert SERVER_TRUST_ACCOUNT enthält (8192). Später blockiert ein SID-Abgleich den Austausch des Objekts. Damit wird die zuvor ausnutzbare Eigenschaft reduziert, dass die CA nur „folgt“, statt die Zielidentität hart zu verifizieren.
Welche Systeme betroffen sind, wird über die CVE-Referenz CVE-2026-54121 gespiegelt: Das NVD verzeichnet Windows Server 2012 bis 2025, inklusive Server-Core-Varianten, und zusätzlich Windows 10 Version 1607 sowie 1809. Dass die Schwachstelle am 24. Juli noch nicht im offiziellen Katalog „Known Exploited Vulnerabilities“ auftauchte, ist nach Einschätzung der Forschenden kein Beweis gegen aktive Ausnutzung, sondern beschreibt eher den damaligen öffentlichen Meldestatus. Praktisch wichtig ist jedoch der Zeitplan: Die Forschenden berichteten am 14. Mai, Microsoft bestätigte am 22. Mai und schloss am 14. Juli – die öffentliche Offenlegung inklusive Proof-of-Concept erfolgte am 24. Juli.
Für Organisationen mit Enterprise-CAs, die nicht sofort patchen können, wird außerdem ein Zwischenweg genannt. Die Forschenden dokumentieren eine labortestete Methode, den „chase“-Mechanismus zu deaktivieren und Certificate Services anschließend neu zu starten. Dazu wird empfohlen, den Chase-Flag über certutil zu ändern und CertSvc neu zu starten, konkret mit: certutil -setreg policyEditFlags -EDITF_ENABLECHASECLIENTDCRestart-Service CertSvc -Force. Da diese Maßnahme nachweislich bestehende Enrollment-Flows beschädigen kann, empfehlen die Autoren, sie zunächst kontrolliert zu validieren und den 14.-Juli-Update als langfristige Lösung einzuplanen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Certighost: AD-CS-Fehler ermöglicht Zertifikat-Impersonation eines Domain Controllers" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Certighost: AD-CS-Fehler ermöglicht Zertifikat-Impersonation eines Domain Controllers" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Certighost: AD-CS-Fehler ermöglicht Zertifikat-Impersonation eines Domain Controllers« bei Google Deutschland suchen, bei Bing oder Google News!