ADCS ESC1
Felkonfigurerad certifikatmall som låter vilken användare som helst begära ett certifikat utfärdat i domänadministratörens namn. Domänövertagande på en minut.
Fyra egenskaper i en mall måste sammanfalla: den tillåter att sökanden själv anger subject alternative name, den innehåller ett användningsområde som duger för klientautentisering, den är öppen för inskrivning av lågprivilegierade grupper, och den kräver ingen godkännande av en handläggare. Är alla fyra uppfyllda kan en vanlig användare begära ett certifikat där det står att innehavaren är någon annan, och sedan logga in som den personen med PKINIT. Certifikatet är dessutom giltigt i flera år och påverkas inte av att lösenordet byts. Angreppsvägen katalogiserades i SpecterOps rapport Certified Pre-Owned från 2021, som numrerade den ESC1 av ett drygt dussin.