ADCS ESC1
証明書テンプレートの設定ミスで、一般ユーザーがドメイン管理者の名義で証明書を発行させられる。ドメインの乗っ取りまで1分程度。
テンプレートの四つの性質が重なると成立する。要求者がサブジェクト代替名（SAN）を指定できる、クライアント認証に使える拡張キー使用法を持つ、低権限のグループにも登録が開放されている、マネージャーの承認が不要、の四つだ。すべて真なら、普通のユーザーが「この証明書の持ち主は別人だ」と書いた証明書を要求し、PKINIT経由でその人としてログインできる。証明書は有効期間が何年にも及び、パスワードを変えても影響を受けないので、長く居座れる足がかりにもなる。この経路はSpecterOpsの2021年の論文「Certified Pre-Owned」で整理され、十数個あるうちのESC1と番号が振られた。