Certifried, resmi adıyla CVE-2022-26923, Active Directory Sertifika Hizmetleri’nin (AD CS) kullanıldığı ortamlarda düşük yetkili bir kullanıcının alan yöneticisi seviyesine yükselmesine imkan tanıyan bir zafiyettir. Kök neden, sertifika sunucusunun bir talep sahibinin gerçek kimliğini doğrularken güvendiği özniteliğin, saldırganın kendisi tarafından değiştirilebilmesidir. Bu küçük görünen boşluk, tüm ormanın ele geçirilmesine kadar giden bir zincirin başlangıcı olur.

Certifried, bir makine hesabının kimliğini kanıtlayan özniteliğin sahibi tarafından değiştirilebilmesinden doğan ve sertifikayı yetki yükseltme aracına çeviren bir tasarım kusurudur.

Saldırı Nasıl Gerçekleşir?

Active Directory, varsayılan olarak sıradan bir kullanıcının en fazla on makine hesabı oluşturmasına izin verir. Saldırgan bu yetkiyle yeni bir makine hesabı yaratır ve tam denetimine sahip olduğu bu hesabın dNSHostName özniteliğini, hedef aldığı bir alan denetleyicisinin adıyla eşleşecek şekilde değiştirir. Ardından bu makine hesabı adına AD CS’den bir sertifika talep eder. Sertifika makamı kimliği doğrularken dNSHostName değerine güvendiği için, saldırgana aslında hedef alan denetleyicisinin kimliğini taşıyan geçerli bir sertifika verir.

Elde edilen sertifika, sahibinin yüksek yetkili denetleyici hesabı olduğunu kanıtlar. Saldırgan bu sertifikayı Kerberos ile kimlik doğrulaması yaparken kullanır ve karşılığında hedef hesabın bilet verme biletini (TGT) alır. Buradan itibaren, ele geçirilen kimliğin tüm yetkileriyle etki alanında hareket edebilir. Zincir, Açık anahtar altyapısı ile Kerberos kimlik doğrulama mekanizmalarının kesişiminde, birinin çıktısının diğerine güvenilir girdi olarak akmasıyla tamamlanır.

Neden Bu Kadar Etkili?

Zafiyetin ciddiyeti, gerektirdiği ön koşulların düşüklüğünden gelir. Saldırganın yalnızca sıradan bir etki alanı kullanıcı hesabına ve AD CS’nin varsayılan yapılandırmasına ihtiyacı vardır; özel bir yönetici yetkisi ya da nadir bir hatalı ayar aranmaz. Bu yönüyle Certifried, bir tutamak sağladıktan sonra hızla tam etki alanı ele geçirmeye dönüşen tipik bir Yetki yükseltme senaryosudur ve saldırı zincirinde kısa bir adımda en yüksek yetkiye ulaştırır.

Microsoft, zafiyeti sertifika içine talep sahibinin güvenlik tanımlayıcısını (SID) gömen ve sertifika kullanılırken bu değeri hesabın gerçek SID’iyle karşılaştıran bir düzeltmeyle kapattı. Böylece dNSHostName üzerinden yapılan kimlik taklidi geçersiz kalır; çünkü doğrulama artık değiştirilebilen bir isme değil, hesaba sabitlenmiş benzersiz bir kimliğe dayanır. Yamanın uygulanmasının yanı sıra, kullanıcıların makine hesabı oluşturma kotasının sınırlanması da saldırının ilk adımını zorlaştırır.

Kurumsal Savunma ve Doğrulama

Certifried, sertifika altyapısı yanlış konumlandırıldığında bir güvenlik bileşeninin nasıl saldırı aracına dönüşebileceğini gösterir. Savunma, yalnızca ilgili yamayı uygulamakla sınırlı kalmaz; talep şablonlarının aşırı geniş izinlerden arındırılması, makine hesabı kotalarının kısılması ve sertifika verme olaylarının izlenmesi de gerekir. Bu tür zayıflıkların gerçek bir saldırganın gözünden ortaya çıkarılması, kontrollü bir red team hizmeti kapsamında saldırı zincirinin baştan sona canlandırılmasıyla en somut biçimde görülür.