Как из патча за 10 дней сделали эксплойт против CertiGuard в AD

Разработчики CertiGuard выпустили патч, устраняющий уязвимость в проверке подлинности. Через 10 дней после релиза в открытый доступ попал рабочий эксплойт, позволяющий обойти защиту и подменить учетные данные в AD.

Исследователи SecurityLab проанализировали патч, выделили недочет в реализации и создали скрипт, который автоматически генерирует поддельные токены. Инструмент работает без привилегий и может быть запущен даже на обычных клиентских машинах.

Пользователям рекомендуется немедленно установить обновление и включить многофакторную аутентификацию. Администраторам стоит мониторить аномальные запросы к контроллерам домена и ограничить доступ к сервису CertiGuard.

В случае обнаружения компрометации следует быстро изменить пароли всех привилегированных аккаунтов и провести аудит журналов безопасности.