La vulnérabilité Certighost exploite un mécanisme de secours AD CS peu connu pour inciter les autorités de certification à émettre des informations d’identification fiables.
Une vulnérabilité dans les services de certificats Active Directory (AD CS) de Microsoft pourrait permettre à un utilisateur de domaine à faible privilège d’usurper l’identité d’un contrôleur de domaine, ont averti des chercheurs en sécurité.
Surnommée Certighost, la faille provient d’un mécanisme de repli d’inscription connu sous le nom de « chasse », que l’autorité de certification (CA) utilise lors de la résolution d’objets d’annuaire.
Ce mécanisme pourrait être utilisé pour inciter l’autorité de certification à récupérer une identité contrôlée par un attaquant au lieu d’un contrôleur de domaine légitime.
« En fournissant des attributs de requête tels que cdc, un attaquant pourrait amener l’autorité de certification à demander à un hôte contrôlé par l’attaquant des données d’identité appartenant à un contrôleur de domaine », ont déclaré les chercheurs @h0j3n et @aniqfakhrul dans un article sur GitHub. « L’autorité de certification utilise ensuite ces données lors de la délivrance d’un certificat. »
Microsoft a résolu le problème dans ses mises à jour de sécurité de juillet 2026.
Exploiter la confiance dans le processus de délivrance de certificats
Contrairement à d’autres techniques d’attaque AD CS précédemment signalées qui exploitaient des modèles de certificat mal configurés ou des autorisations d’inscription faibles, Certighost cible le flux de travail d’émission de certificat lui-même.
Les chercheurs ont expliqué que lorsque les demandes de certificat incluent les attributs cdc (Client DC) et rmd (Remote Domain), l’autorité de certification peut effectuer une recherche dans l’annuaire secondaire, appelée poursuite, pour résoudre les informations d’identité.
Dans les déploiements vulnérables, l’autorité de certification fait confiance à la valeur cdc spécifiée par le demandeur sans vérifier si le serveur référencé était un contrôleur de domaine authentique.
« Cela a permis à un attaquant d’exécuter des services LDAP et LSA sur un hôte qu’il contrôlait, de diriger l’autorité de certification vers cet hôte et de renvoyer des données d’annuaire pour un principal cible choisi », ont expliqué les chercheurs.
Selon les chercheurs, des valeurs telles que l’objectSid et le dNSHostName du contrôleur pourraient ensuite être incorporées dans le certificat émis, influençant ainsi le mappage SID fort et les champs d’identité DNS utilisés lors de l’authentification.
Étant donné que le certificat lui-même semblait légitime, les chercheurs ont noté que l’attaque était passée de la cryptographie à une recherche dans un répertoire que les attaquants pouvaient manipuler.
Les chercheurs démontrent les flux de travail défectueux et fixes
Dans un exploit de preuve de concept (PoC), les chercheurs ont utilisé un environnement de laboratoire d’entreprise standard comprenant une autorité de certification d’entreprise, Windows Server Active Directory, le modèle de certificat machine par défaut et un compte utilisateur de domaine à faibles privilèges.
L’exploit a automatisé chaque étape de l’attaque, y compris la création de comptes de machine, l’inscription de certificats et l’usurpation d’identité du contrôleur de domaine.
Les chercheurs ont déclaré avoir examiné le correctif de juillet 2026 de Microsoft pour comprendre le correctif.
En comparant les binaires corrigés à la version vulnérable, ils ont identifié une étape de vérification supplémentaire qui valide le serveur cible avant que l’autorité de certification ne réponde à une demande de poursuite.
« Lorsque la porte de validation est active, l’autorité de certification vérifie que le nom d’hôte fourni dans cdc correspond à un objet informatique contrôleur de domaine légitime dans le répertoire réel avant de poursuivre la recherche », ont confirmé les chercheurs. « Un échec de validation entraîne la demande sur un chemin d’erreur plutôt que sur la poursuite de la poursuite. »
Bien que Microsoft ait corrigé la vulnérabilité, les organisations qui dépendent d’AD CS ont été invitées à auditer en permanence le comportement d’inscription des certificats, à examiner les modèles de certificats exposés et à garantir que les contrôleurs de domaine et les autorités de certification reçoivent rapidement les mises à jour de sécurité.
Les chercheurs ont également fourni un correctif pour les organisations qui ne peuvent pas encore l’appliquer. « Si la mise à jour de juillet ne peut pas être installée immédiatement, le chemin du code vulnérable peut être complètement désactivé avec un indicateur de politique », ont-ils déclaré, ajoutant la politique qui peut désactiver le repli de poursuite car elle est facultative.
Cependant, ils ont averti que le correctif n’était validé que dans des environnements de laboratoire contrôlés et ne devrait être appliqué en production qu’après l’avoir testé sur une autorité de certification intermédiaire.
