Kas ir “Certighost” un kāpēc tas ir bīstams?
Microsoft ir izziņojis steidzamu brīdinājumu IT administratoriem par kritisku ievainojamību, kas pazīstama kā “Certighost” (CVE-2026-54121). Šī ievainojamība, kurai piešķirts augsts riska līmenis (CVSS 8.8), ļauj uzbrucējiem paaugstināt savas piekļuves tiesības Active Directory sertifikātu pakalpojumos (AD CS) līdz administratora līmenim. Tas nozīmē, ka autentificēti lietotāji var manipulēt ar datora konta atribūtiem, iegūt AD CS sertifikātu un, izmantojot PKINIT autentifikāciju, uzdoties par domēna kontrolieri, veicot tālākās Active Directory operācijas. Lielākā problēma ir tā, ka tiešsaistē ir parādījies šīs ievainojamības Proof-of-Concept (PoC) ekspluatācijas kods, kas dramatiski palielina uzbrukumu iespējamību.
Tūlītēja atjaunināšana ir obligāta!
Microsoft Threat Intelligence komanda ir publicējusi brīdinājumu, norādot, ka PoC koda pieejamība tīmeklī padara uzbrukumus daudz reālākus. Uzņēmums mudina visus IT administratorus nekavējoties un ar paaugstinātu prioritāti instalēt jūlija ielāpu dienas atjauninājumus. Īpaši svarīgi ir atjaunināt visus serverus, kuros darbojas uzņēmuma sertifikātu iestāde (CA). Šie atjauninājumi nodrošina, ka pirms sertifikātu iestādes sazināšanās ar reģistrācijas pieprasījuma mērķi tiek pārbaudītas reģistrācijas pieprasījumu adreses, tādējādi novēršot manipulētu sertifikātu izsniegšanu.
Ko darīt, ja atjauninājumi nav uzreiz pieejami?
Ja jūlija atjauninājumus nevar instalēt nekavējoties, Microsoft iesaka veikt pagaidu pasākumus, lai samazinātu risku. Ir būtiski aktivizēt “Certification Services auditing” žurnālus gan veiksmīgām, gan neveiksmīgām operācijām. Auditēšanas filtru konfigurācijai ir jāuztver ar sertifikātu dzīves ciklu saistītās darbības. Administrators var izmantot šos žurnālus, lai pamanītu neparastas aktivitātes. Regulāra žurnālu pārbaude var palīdzēt laicīgi atklāt potenciālus apdraudējumus.
Kā pamanīt uzbrukumu?
Microsoft Defender ir aprīkots, lai atklātu ļaunprātīgus sertifikātu pieprasījumus, kas saistīti ar “Certighost” ievainojamību. Tas ģenerēs brīdinājumus, piemēram, “Potential Certighost (CVE-2026-54121) AD CS abuse” vai “Active Directory Certificate Services attack tool activity”. Papildus tam, jāpievērš uzmanība arī citiem žurnālu paziņojumiem, kas var netieši norādīt uz uzbrukumu. Tie var ietvert:
- Drošības principālu atklāšana (LDAP).
- Aizdomīgas darbības, kas saistītas ar Active Directory sertifikātu pakalpojumu ļaunprātīgas izmantošanas rīku.
- Aizdomīgi Kerberos biļešu pieprasījumi.
- DCSync uzbrukums (Directory Services replikācija).
Īpaša uzmanība jāpievērš sertifikātiem, kas pieprasīti, izmantojot Machine-Templates, un kas negaidīti satur domēna kontroliera identitātes informāciju. Šādas anomālijas var liecināt par uzbrukuma mēģinājumu.
“Certighost” ir nopietns atgādinājums par nepieciešamību saglabāt modrību un regulāri atjaunināt sistēmas. Atstājot šo ievainojamību neatrisinātu, tiek pakļauta riskam visa Active Directory infrastruktūra. Vai jūsu IT sistēmas ir gatavas šādiem izaicinājumiem?
Iezīmē tekstu un spied ziņot par kļūdu.
