Certifried
De kwetsbaarheid uit 2022 waarmee elke ingelogde domeingebruiker een certificaat kon aanvragen dat hem tot domeincontroller maakte. Geen wachtwoord nodig, alleen een nieuw computeraccount.
De keten rustte op drie normale gedragingen die samenkwamen. Alle geauthenticeerde gebruikers mogen standaard tot tien computeraccounts aanmaken, de eigenaar van zo'n account mag de DNS-naam wijzigen, en het ingebouwde machinecertificaatsjabloon zet precies die DNS-naam in de subject alternative name van het certificaat. Door een account aan te maken, de naam op een domeincontroller te zetten en vervolgens een certificaat op te halen, verkreeg de aanvaller een identiteit die Kerberos aanvaardde als de echte controller — en daarmee de mogelijkheid de volledige wachtwoorddatabase te dumpen. De bevinding werd gepubliceerd door Oliver Lyak en in mei van dat jaar verholpen, maar de oplossing was groter dan een gewone patch: ze nam de SID van het account op in een nieuwe certificaatextensie en voerde strong mapping in, een overgang met eigen handhavingsdata waar beheerders jarenlang achteraan hebben gelopen.