Auf den Punkt: Die Certighost-Lücke in AD CS ermöglicht es Angreifern mit niedrigen Berechtigungen, sich als Domänencontroller auszugeben und über DCSync auf sensible Konto-Secrets zuzugreifen.
Ein funktionsfähiger Exploit für die Schwachstelle CVE-2026-54121 in Windows Active Directory Certificate Services zeigt, wie Angreifer mit einfachen Benutzerrechten Domänencontroller kapern und Krbtgt-Hashes auslesen können. Microsoft behebt die Lücke seit dem Patch Tuesday im Juli 2026.
Die Sicherheitsforscher H0j3n und Aniq Fakhrul haben am 14. Mai 2026 die Schwachstelle CVE-2026-54121 bei Microsoft gemeldet und im Juli ein automatisiertes Exploit-Skript (certighost.py) sowie einen technischen Report veröffentlicht. Laut Microsoft-Beschreibung ermöglicht die Lücke einem authentifizierten Angreifer, Attribute eines Maschinenkontos zu manipulieren und ein Zertifikat von AD CS zu erhalten, das die PKINIT-basierte Authentifizierung als diese Maschine erlaubt.
Der Angriff nutzt die sogenannte Chase-Rückfallmechanismus bei Zertifikatsanforderungen aus. Diese Funktion verwendet zwei Parameter: cdc (Client DC) für den angesteuerten Server und rmd (Remote Domain) für das gesuchte Konto. Die AD CS validierte den cdc-Parameter nicht, ob er einem echten Domänencontroller entsprach. Ein Angreifer kann daher gefälschte SMB-, LSA- und LDAP-Dienste aufsetzen und falsche Identitätsdaten einschleusen. Mit einfachen Benutzerrechten erstellt der Angreifer über die Standardeinstellung ms-DS-MachineAccountQuota ein legitimes Maschinenkonto, das als gültiger Domänenprinzipal fungiert.
Das veröffentlichte Skript certighost.py automatisiert die Zertifikatsanforderung, führt PKINIT-Authentifizierung durch, speichert Kerberos-Anmeldedaten in einer CCACHE-Datei und liest den NT-Hash des Domänencontrollers aus. Anschließend ermöglicht die Integration mit Impacket secretsdump einen DCSync-Angriff, um den krbtgt-Hash auszulesen. Da Domänencontroller-Konten Verzeichnisreplikationsrechte haben, kann der Angreifer mit dem resultierenden Kerberos-Token Kontogeheimnisse einschließlich des krbtgt-Secrets anfordern.
Microsoft behob das Problem durch strikte Validierung des cdc-Attributs im Juli-Update 2026. Die Zertifizierungsstelle prüft nun, ob der Server ein echter Domänencontroller in Active Directory ist. Für Umgebungen, die das Update noch nicht eingespielt haben, bietet Microsoft die Deaktivierung der Chase-Rückfalloption als temporäre Maßnahme an: certutil -setreg policyEditFlags -EDITF_ENABLECHASECLIENTDC und Restart-Service CertSvc -Force. Die Sicherheitsforscher betonen, dass dies nur eine Übergangslösung darstellt und die Installation offizieller Patches Priorität haben sollte.
Quelle: www.it-daily.net · Erschienen 31. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.