Certifried CVE-2022-26923
Die Sicherheitslücke von 2022, durch die jeder angemeldete Domänenbenutzer ein Zertifikat anfordern konnte, das ihn zum Domänencontroller machte. Kein Passwort nötig, nur ein neues Computerkonto.
Die Kette beruhte darauf, dass drei ganz normale Verhaltensweisen zusammenkamen. Jeder authentifizierte Benutzer darf standardmäßig bis zu zehn Computerkonten anlegen, der Besitzer eines solchen Kontos darf dessen DNS-Namen ändern, und die eingebaute Zertifikatsvorlage für Maschinen trägt genau diesen DNS-Namen in das Feld für alternative Namen des Zertifikats ein. Wer ein Konto anlegt, dessen Namen auf einen Domänencontroller umbiegt und anschließend ein Zertifikat anfordert, erhält eine Identität, die Kerberos als den echten Controller akzeptiert — und damit die Möglichkeit, die komplette Passwortdatenbank auszulesen. Der Fund wurde von Oliver Lyak veröffentlicht und im Mai desselben Jahres behoben, doch die Korrektur war umfangreicher als ein gewöhnlicher Patch: Sie bettete die SID des Kontos in eine neue Zertifikatserweiterung ein und führte die starke Zuordnung ein — ein Übergang mit eigenen Durchsetzungsterminen, dem Administratoren noch jahrelang hinterherliefen.