Эксперты предупреждают о новой уязвимости в центре сертификации

Эксперты УЦСБ предупреждают о новом способе взлома корпоративных сетей с помощью центра сертификации Active Directory (AD CS).

Для использования уязвимости, классифицированной как AD CS ESC16, злоумышленникам достаточно скомпрометировать всего одну непривилегированную учетную запись с определенными правами и выполнить от ее имени несколько команд. В результате такой атаки злоумышленники могут получить привилегированный доступ ко всей инфраструктуре, включенной в домен Active Directory.

Чтобы защитить корпоративную сеть, необходимо убедиться, что в настройках центра сертификации Active Directory включено расширение SID Security Extension. Оно позволяет идентифицировать пользователя по его уникальному номеру, а не по другим атрибутам, значения которых могут изменить преступники. Расширение стало доступно после выхода в мае 2022 обновления KB5014754, поэтому важно установить его или последующие кумулятивные обновления.

Дмитрий Зубарев, заместитель директора аналитического центра УЦСБ: «Центр сертификации — один из самых часто встречающихся векторов компрометации доменов Active Directory. Это уже шестнадцатая описанная техника повышения привилегий, использующая этот компонент, и будут появляться новые. В связи с этим необходимо регулярно проверять настройки AD CS и устранять недостатки конфигурации».