CVE-2022-26923
Microsoft Active Directory Domain Services Privilege Escalation Vulnerability
Beschreibung
CVE-2022-26923 ist eine Privilegien-Eskalations-Schwachstelle in Microsoft Active Directory Domain Services, die es einem authentifizierten Benutzer ermöglicht, durch Manipulation von Attributen auf Computerkonten Privilegien bis zur SYSTEM-Ebene zu eskalieren. Durch Missbrauch der Active Directory Certificate Services (AD CS) kann ein Angreifer ein Zertifikat anfordern, das erhöhten Zugriff auf Domänenressourcen gewährt. CISA hat CVE-2022-26923 in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen und bestätigt damit die aktive Ausnutzung. Mit einem außergewöhnlich hohen EPSS-Score von 91,7 % (99,7. Perzentil) gehört diese Schwachstelle zu den am wahrscheinlichsten ausgenutzten aller bekannten CVEs.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.19297 |
| microsoft | windows 10 1607 | < 10.0.14393.5850 |
| microsoft | windows 10 1809 | < 10.0.17763.4252 |
| microsoft | windows 10 1909 | < 10.0.18363.2274 |
| microsoft | windows 10 20h2 | < 10.0.19042.1706 |
| microsoft | windows 10 21h1 | < 10.0.19043.1706 |
| microsoft | windows 10 21h2 | < 10.0.19044.1706 |
| microsoft | windows 11 21h2 | < 10.0.22000.1817 |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2012 | r2 |
| microsoft | windows server 2016 | < 10.0.14393.5850 |
| microsoft | windows server 2019 | < 10.0.17763.4252 |
| microsoft | windows server 2022 | < 10.0.20348.1668 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-26923(Patch, Vendor Advisory)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-26923(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-26923(US Government Resource)
Schwachstellentyp
CWE-269: Improper Privilege Management
CVE-2022-26923 nutzt eine unsachgemäße Privilegienverwaltung in Microsoft Active Directory Domain Services aus, bei der der Zertifikatsregistrierungsprozess die Privilegienstufe der anfragenden Entität nicht ordnungsgemäß validiert. Ein authentifizierter Benutzer kann Computerkonto-Attribute manipulieren, um ein Zertifikat von den Active Directory Certificate Services zu erhalten, das SYSTEM-Zugriff gewährt und die vorgesehenen Autorisierungsgrenzen der aktuellen Privilegienstufe umgeht.
Mehr erfahren: CWE-269 — Improper Privilege Management
Auswirkungsanalyse
CVE-2022-26923 stellt eine kritische Bedrohung für Active-Directory-Umgebungen in Unternehmen dar. Die Schwachstelle erfordert lediglich einen authentifizierten Zugang mit niedrigen Privilegien zu einer Domäne, der für jeden domänenverbundenen Benutzer oder jede kompromittierte Workstation verfügbar ist. Nach der Ausnutzung kann der Angreifer auf SYSTEM-Privilegien eskalieren und erlangt effektiv die vollständige Kontrolle über die Domäneninfrastruktur. Vertraulichkeit, Integrität und Verfügbarkeit der gesamten Active-Directory-Umgebung sind stark gefährdet, da SYSTEM-Zugriff die Extraktion aller Domänen-Anmeldedaten, die Modifikation von Sicherheitsrichtlinien, die Erstellung persistenter Backdoor-Konten und die Unterbrechung von Authentifizierungsdiensten ermöglicht. Der EPSS-Score von 91,7 % (99,7. Perzentil) platziert diese Schwachstelle im obersten Bruchteil eines Prozents der Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2022-26923 bestätigt, indem die Schwachstelle am 18. August 2022 in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen wurde, mit einer Behebungsfrist bis zum 8. September 2022. Der EPSS-Score von 91,7 % (99,7. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität hin und macht dies zu einer der am aktivsten angegriffenen Active-Directory-Schwachstellen. Die Technik des AD-CS-Missbrauchs zur Privilegien-Eskalation wurde in der Sicherheitsforschung umfassend dokumentiert, und mehrere Exploit-Tools und Methodologien sind öffentlich verfügbar. Die niedrige Ausnutzungshürde — lediglich Standard-Domänenbenutzer-Anmeldedaten erforderlich — in Kombination mit der SYSTEM-Level-Auswirkung macht dies zu einem äußerst attraktiven Ziel für externe Angreifer und Insider-Bedrohungen.
Behebung
- Microsoft-Sicherheitsupdates sofort einspielen: Installieren Sie die Patches aus Microsofts Mai 2022 Patch Tuesday, die CVE-2022-26923 beheben, wie im Microsoft Security Response Center Advisory referenziert.
- Active Directory Certificate Services-Konfiguration prüfen: Überprüfen Sie alle Zertifikatsvorlagen auf zu freizügige Registrierungsberechtigungen und stellen Sie sicher, dass Computerkonto-Attribute nicht zur Anforderung nicht autorisierter Zertifikate manipuliert werden können.
- Zertifikatsregistrierungsbeschränkungen implementieren: Konfigurieren Sie AD CS so, dass eine Manager-Genehmigung für Zertifikatsanfragen erforderlich ist, und beschränken Sie, welche Principals sich in sensiblen Zertifikatsvorlagen registrieren können.
- Verdächtige Zertifikatsregistrierungsaktivität überwachen: Aktivieren Sie die Überwachung von Zertifikatsregistrierungsereignissen und alarmieren Sie bei ungewöhnlichen Zertifikatsanfragen, insbesondere von Konten mit niedrigen Privilegien, die Maschinenzertifikate mit erhöhten Berechtigungen anfordern.
- Computerkonto-Verwaltungsberechtigungen überprüfen und härten: Beschränken Sie, welche Benutzer Computerkonto-Attribute im Active Directory erstellen oder modifizieren können, und folgen Sie dem Prinzip der geringsten Privilegien bei der Delegation der Computerkontoverwaltung.
Technische Details
CVE-2022-26923 nutzt einen Fehler in der Interaktion zwischen Microsoft Active Directory Domain Services und Active Directory Certificate Services (AD CS) bei der Zertifikatsregistrierung aus. Die Schwachstelle ermöglicht es einem authentifizierten Domänenbenutzer, Attribute auf Computerkonten zu manipulieren, die er besitzt oder verwaltet — insbesondere die Attribute dNSHostName und servicePrincipalName — um einen Domänencontroller oder einen anderen hochprivilegierten Computer zu imitieren. Wenn das manipulierte Computerkonto dann ein Zertifikat von AD CS unter Verwendung einer Vorlage anfordert, die die Maschinenregistrierung erlaubt, wird das Zertifikat mit der Identität der gefälschten Maschine ausgestellt. Dieses Zertifikat kann dann für die Kerberos-Authentifizierung als die imitierte Maschine verwendet werden, wodurch dem Angreifer SYSTEM-Privilegien in der Domäne gewährt werden. Die Angriffskette nutzt die Vertrauensbeziehung zwischen AD DS und AD CS aus, bei der AD CS auf Attribute vertraut, die von AD DS kontrolliert werden, ohne eine unabhängige Validierung der tatsächlichen Identität der anfragenden Entität durchzuführen.
Häufig gestellte Fragen
Wird CVE-2022-26923 aktiv ausgenutzt?
Ja. CISA hat die aktive Ausnutzung von CVE-2022-26923 bestätigt, indem die Schwachstelle in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen wurde. Der EPSS-Score von 91,7 % (99,7. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität hin. Mehrere öffentliche Tools und Techniken existieren zur Ausnutzung von AD-CS-Privilegien-Eskalationspfaden.
Welche Produkte sind von CVE-2022-26923 betroffen?
CVE-2022-26923 betrifft Microsoft Active Directory Domain Services in Verbindung mit Active Directory Certificate Services. Alle Windows-Server-Versionen, die AD DS mit konfiguriertem AD CS ausführen, sind potenziell verwundbar. Die Schwachstelle betrifft Unternehmensumgebungen, in denen Benutzer Computerkonten erstellen oder verwalten können.
Wie behebe ich CVE-2022-26923?
Spielen Sie die Microsoft-Sicherheitsupdates vom Mai 2022 Patch Tuesday ein, die CVE-2022-26923 beheben. Prüfen Sie zusätzlich AD-CS-Zertifikatsvorlagen auf zu freizügige Registrierungseinstellungen, beschränken Sie Computerkonto-Verwaltungsberechtigungen und implementieren Sie Genehmigungsworkflows für die Zertifikatsregistrierung.
Wie schwerwiegend ist CVE-2022-26923?
CVE-2022-26923 ist eine äußerst schwerwiegende Privilegien-Eskalations-Schwachstelle mit einem EPSS-Score von 91,7 % (99,7. Perzentil), was auf nahezu sichere Ausnutzung hindeutet. Die Schwachstelle ermöglicht es jedem authentifizierten Domänenbenutzer, durch Missbrauch der Active Directory Certificate Services auf SYSTEM-Privilegien zu eskalieren und potenziell die gesamte Active-Directory-Infrastruktur zu kompromittieren.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.