CVE-2021-42278
Microsoft Active Directory Domain Services Privilege Escalation Vulnerability
Beschreibung
CVE-2021-42278 ist eine Privilege-Escalation-Schwachstelle in Microsoft Active Directory Domain Services, die das sAMAccountName-Attribut von Computerkonten betrifft. Die Schwachstelle ermöglicht es einem authentifizierten Benutzer, den sAMAccountName eines Maschinenkontos zu manipulieren, um einen Domänencontroller zu imitieren, was in Kombination mit CVE-2021-42287 eine vollständige Domänenübernahme ermöglicht. CISA hat CVE-2021-42278 in den Known Exploited Vulnerabilities-Katalog aufgenommen. Mit einem EPSS-Score von 0,02 % (89,2. Perzentile) wird diese Schwachstelle aktiv als kritische Komponente der noPac-Domäneneskalations-Angriffskette ausgenutzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows server 2004 | < 10.0.19041.1348 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.4770 |
| microsoft | windows server 2019 | < 10.0.17763.2300 |
| microsoft | windows server 2022 | < 10.0.20348.350 |
| microsoft | windows server 20h2 | < 10.0.19042.1348 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
Schwachstellentyp
CWE-269: Improper Privilege Management
CWE-269 beschreibt eine Schwachstelle, bei der Software Privileggrenzen nicht ordnungsgemäß verwaltet. Bei CVE-2021-42278 schränkt Active Directory die Änderung des sAMAccountName-Attributs auf Maschinenkonten nicht ordnungsgemäß ein, sodass ein authentifizierter Benutzer ein Maschinenkonto umbenennen kann, um einen Domänencontroller zu imitieren und kritische Sicherheitsannahmen im Kerberos-Authentifizierungsprozess zu umgehen.
Weitere Informationen: CWE-269 — Improper Privilege Management
Auswirkungsanalyse
CVE-2021-42278 ist der Ermöglicher für eine der folgenschwersten Active-Directory-Angriffsketten in Kombination mit CVE-2021-42287, kollektiv bekannt als „noPac“-Angriff. Jeder authentifizierte Domänenbenutzer — selbst mit den niedrigstmöglichen Privilegien — kann diese Schwachstellenkette ausnutzen, um innerhalb von Minuten Domänen-Administratorzugriff zu erlangen. Die Auswirkung ist die vollständige Domänenkompromittierung: voller Zugriff auf alle Benutzerzugangsdaten, die Möglichkeit, jede Gruppenrichtlinie zu ändern, persistente Backdoor-Konten zu erstellen und alle domänengebundenen Systeme zu kontrollieren.
Exploit-Reifegrad
CVE-2021-42278 ist im CISA Known Exploited Vulnerabilities-Katalog mit bestätigter aktiver Ausnutzung gelistet. Obwohl der EPSS-Score von 0,02 % (89,2. Perzentile) isoliert betrachtet moderat erscheint, wird diese Schwachstelle fast ausschließlich in Kombination mit CVE-2021-42287 ausgenutzt, die einen EPSS-Score in der 99,7. Perzentile aufweist. Der kombinierte „noPac“-Angriff ist breit dokumentiert, in Tools wie noPac.py und Rubeus automatisiert und wird routinemäßig in realen Angriffen eingesetzt.
Behebung
- Pflichtmaßnahme laut CISA KEV: Installieren Sie die Microsoft-Sicherheitsupdates vom November 2021, die CVE-2021-42278 in Active Directory Domain Services beheben, auf allen Domänencontrollern.
- Wenden Sie den CVE-2021-42287-Patch gleichzeitig an, da beide Schwachstellen eine einzige Angriffskette bilden.
- Überwachen Sie verdächtige Maschinenkonto-Erstellungen und sAMAccountName-Änderungen über Active-Directory-Audit-Protokolle.
- Beschränken Sie die Möglichkeit zur Erstellung von Maschinenkonten, indem Sie den ms-DS-MachineAccountQuota-Wert von seinem Standardwert 10 auf 0 für Standardbenutzer reduzieren.
- Implementieren Sie Active-Directory-Tiering und Privileged-Access-Workstations (PAWs), um die Auswirkung einer Zugangsdaten-Kompromittierung einzudämmen.
Technische Details
CVE-2021-42278 ist eine Privilege-Escalation-Schwachstelle in Active Directory, die einem authentifizierten Benutzer die Änderung des sAMAccountName-Attributs eines von ihm kontrollierten Maschinenkontos ermöglicht, um den Namen eines Domänencontrollers (ohne das abschließende „$“) nachzuahmen. Standardmäßig kann jeder authentifizierte Domänenbenutzer bis zu 10 Maschinenkonten erstellen (gesteuert durch ms-DS-MachineAccountQuota), und die Active-Directory-Namensvalidierung verhindert nicht das Setzen eines Maschinenkonto-sAMAccountName auf den Namen eines existierenden Domänencontrollers. Dieses umbenannte Konto wird dann verwendet, um ein Kerberos-TGT anzufordern, wonach das Konto zurückbenannt wird, was den CVE-2021-42287-Ausnutzungspfad einrichtet.
Häufig gestellte Fragen
Wird CVE-2021-42278 aktiv ausgenutzt?
Ja. CVE-2021-42278 ist im CISA-KEV-Katalog gelistet und wird aktiv als Teil der „noPac“-Angriffskette in Kombination mit CVE-2021-42287 ausgenutzt. Automatisierte Ausnutzungstools sind weit verbreitet.
Welche Produkte sind von CVE-2021-42278 betroffen?
CVE-2021-42278 betrifft Microsoft Active Directory Domain Services auf allen unterstützten Windows-Server-Versionen, die als Domänencontroller fungieren.
Wie behebe ich CVE-2021-42278?
Installieren Sie die Microsoft-Sicherheitsupdates vom November 2021 auf allen Domänencontrollern. Patchen Sie auch CVE-2021-42287 und reduzieren Sie ms-DS-MachineAccountQuota auf 0 für Standardbenutzer.
Wie schwerwiegend ist CVE-2021-42278?
CVE-2021-42278 ist eine kritische Active-Directory-Schwachstelle, die in Kombination mit CVE-2021-42287 jedem Domänenbenutzer Domänen-Admin-Privilegien ermöglicht. Dies macht sie zu einer der folgenschwersten Schwachstellenketten in Unternehmensumgebungen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.