Um exploit denominado Certighost, publicado por pesquisadores H0j3n e Aniq Fakhrul em 24 de julho, permite que um usuário do Active Directory com baixos privilégios obtenha um certificado para um Controlador de Domínio e se autentique como essa máquina. Isso possibilita a recuperação do segredo krbtgt por meio de DCSync, devido aos direitos de replicação de diretório associados às contas de Controlador de Domínio.
Detalhes Técnicos
Vulnerabilidade: Certighost, uma falha que permite a um usuário com baixos privilégios do Active Directory obter um certificado para um Controlador de Domínio.
Impacto: Permite a autenticação como o Controlador de Domínio, possibilitando a recuperação do segredo krbtgt através de DCSync.
Direitos de Replicação: As contas de Controlador de Domínio possuem direitos de replicação de diretório, o que facilita a exploração.
Ameaça: A exploração bem-sucedida pode levar a sérios comprometimentos de segurança no Active Directory.
Ações Recomendadas
Atualizar e Patch: Aplicar patches de segurança o mais rápido possível para mitigar a vulnerabilidade.
Monitoramento: Monitorar atividades suspeitas no Active Directory que possam indicar a exploração da vulnerabilidade.
Restringir Privilégios: Revisar e restringir privilégios de usuários para minimizar o impacto de uma possível exploração.
Autenticação: Implementar autenticação multifator para dificultar a autenticação maliciosa.
Próximos Passos
Verificar se o sistema está atualizado com os patches de segurança mais recentes e realizar uma auditoria de segurança no Active Directory para identificar possíveis vulnerabilidades.
