Auf den Punkt: Certighost nutzt einen Fallback-Mechanismus in der Zertifikatsvergabe, um die Zertifizierungsstelle dazu zu bringen, Identitätsdaten von einem attackerkontrollierten Host zu akzeptieren statt von einem echten Domain Controller.
Eine Schwachstelle in Microsofts Active Directory Certificate Services (AD CS) erlaubt es einem Benutzer mit eingeschränkten Berechtigungen, sich als Domain Controller auszugeben. Microsoft hat die Sicherheitslücke im Juli 2026 geschlossen.
Die als Certighost bezeichnete Lücke basiert auf einem Fallback-Mechanismus namens „Chase“ (Nachverfolgung), den die Zertifizierungsstelle (CA) bei der Auflösung von Verzeichnisobjekten nutzt. Bei diesem Prozess kann ein Angreifer die CA dazu veranlassen, Identitätsdaten von einem von ihm kontrollierten Server zu verarbeiten, anstatt von einem legitimen Domain Controller. Die Sicherheitsforscher h0j3n und aniqfakhrul zeigten, dass die CA durch Angabe von Request-Attributen wie cdc (Client DC) einen von einem Angreifer kontrollierten Host nach Identitätsdaten eines Domain Controllers abfragen kann, die dann bei der Zertifikatausstellung verwendet werden.
Anders als frühere AD-CS-Angriffe, die auf fehlerhaft konfigurierte Zertifikatsvorlagen oder schwache Enrollment-Berechtigungen abzielten, greift Certighost direkt den Zertifikatsvergabeprozess selbst an. Wenn Zertifikatanfragen die Attribute cdc und rmd (Remote Domain) enthalten, kann die CA eine sekundäre Verzeichnisabfrage durchführen. In anfälligen Systemen überprüft die CA nicht, ob der referenzierte Server tatsächlich ein Domain Controller ist. Ein Angreifer kann dadurch LDAP- und LSA-Dienste auf einem Rechner betreiben, die CA zu diesem Rechner leiten und Verzeichnisdaten für ein beliebiges Ziel-Principal zurückgeben. Diese Daten – etwa die objectSid und dNSHostName des Controllers – werden dann in das ausgestellte Zertifikat eingebunden und beeinflussen die starke SID-Zuordnung und DNS-Identitätsfelder bei der Authentifizierung.
In einem Proof-of-Concept nutzen die Forscher eine Standard-Enterprise-Umgebung mit einer Enterprise CA, Windows Server Active Directory, der Standard-Machine-Zertifikatvorlage und einem Benutzer mit eingeschränkten Berechtigungen. Der Exploit automatisierte alle Phasen – von der Erstellung eines Machine Accounts über die Zertifikatanforderung bis zur Domain-Controller-Impersonation.
Nach Analyse des Juli-2026-Patches identifizierten die Forscher einen zusätzlichen Verifizierungsschritt: Die CA überprüft nun, dass der im cdc-Attribut angegebene Hostname einem echten Domain-Controller-Computerobjekt im Verzeichnis entspricht, bevor die Chase fortgesetzt wird. Ein Validierungsfehler führt zu einer Fehlerbehandlung statt zur Chase-Fortsetzung.
Organisationen, die AD CS nutzen, wird empfohlen, das Zertifikat-Enrollment kontinuierlich zu prüfen, exponierte Zertifikatsvorlagen zu überprüfen und sicherzustellen, dass Domain Controller und Certificate Authorities zeitnah aktualisiert werden. Für den Fall, dass das July-Update nicht sofort installiert werden kann, bieten die Forscher einen Hotfix an: Das optionale Chase-Fallback kann über einen Policy-Flag deaktiviert werden. Dieser Hotfix wurde jedoch nur in kontrollierten Labumgebungen validiert und sollte in Produktionsumgebungen erst nach Test auf einem Staging-CA eingesetzt werden.
Quelle: www.csoonline.com · Erschienen 27. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.