【缝隙公告】Windows Active Directory 域服务权限提升缝隙（CVE-2021-42278）
颁布功夫 2021-12-210x00 缝隙概述
CVE ID | CVE-2021-42278 | 时 间 | 2021-11-09 |
类 型 | 权限提升 | 等 级 | 高危 |
远程利用 | 是 | 影响领域 | |
攻击复杂度 | 高 | 可用性 | 高 |
用户交互 | 无 | 所需权限 | 低 |
PoC/EXP | 已公开 | 在野利用 |
0x01 缝隙详情
2021年12月20日，微软披露了Windows Active Directory 域服务权限提升缝隙（CVE-2021-42287和CVE-2021-42278）的缝隙细节，并忠告客户实时建复这2个缝隙。当结合这2个缝隙时，攻击者能够在没有利用补丁的 Active Directory 环境中创建一个直接接见域治理员用户的蹊径，在攻击域中的通常用户后轻松将其权限提升为域治理员权限，最终收受Windows域。
这2个缝隙都是微软11月9日补丁日中建复的，CVSS评分均为7.5。其中CVE-2021-42278是一个安全绕过缝隙，该缝隙允许攻击者使用推算机帐户sAMAccountName糊弄来假意域节造器（SAM名称仿照）。CVE-2021-42287是影响Kerberos特权属性证书（PAC）的安全绕过缝隙，允许攻击者假意域节造器（KDC糊弄）。
12 月 11 日，这2个缝隙的细节和PoC/EXP已在互联网上公开。经过身份验证的远程攻击者能够结合这2个缝隙在默认配置的情况下将通常权限提升到域治理员权限。
影响领域
CVE-2021-42287、CVE-2021-42278：
Windows Server, version 20H2 (Server Core Installation)
Windows Server, version 2004 (Server Core installation)
Windows Server 2022 (Server Core installation)
Windows Server 2022
Windows Server 2019 (Server Core installation)
Windows Server 2019
Windows Server 2016 (Server Core installation)
Windows Server 2016
Windows Server 2012 R2 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 (Server Core installation)
Windows Server 2012
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2008 R2 for x64-based Systems Service Pack 1
0x02 措置建议
目前这些缝隙已在微软11月9日颁布的安全更新中建复，建议启用Windows自动更新或手动下载装置补丁。
下载链接：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-42278
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-42287
此表，微软还分享了这2个缝隙的利用检测分步指南：
1.sAMAccountName 更改基于事务 4662，请确保在域节造器上启用它以捕获此类活动。
2. 打开 Microsoft 365 Defender 并导航到Advanced Hunting。
3.复造以下查问（也可在 Microsoft 365 Defender GitHub高级狩猎查问中找到），查找异常设备名称更改：
IdentityDirectoryEvents
| where Timestamp > ago(1d)
| where ActionType == "SAM Account Name changed"
| extend FROMSAM = parse_json(AdditionalFields)['FROM SAM Account Name']
| extend TOSAM = parse_json(AdditionalFields)['TO SAM Account Name']
| where (FROMSAM has "$" and TOSAM !has "$")
or TOSAM in ("DC1", "DC2", "DC3", "DC4") // DC Names in the org
| project Timestamp, Application, ActionType, TargetDeviceName, FROMSAM, TOSAM, ReportId, AdditionalFields
4.用域节造器的定名约定代替象征区域
5.运行查问并分析蕴含受影响设备的了局� Ｄ芄皇褂肳indows 事务 4741查找这些推算机的创建者（若是它们是新创建的）。
6.建议调查这些被习染的推算机并确定它们没有被兵器化。
7.确保使用以下知识库文章中详述的步骤和信息更新遭逢攻击的设备：KB5008102、KB5008380、KB5008602。
0x03 参考链接
https://techcommunity.microsoft.com/t5/security-compliance-and-identity/sam-name-impersonation/ba-p/3042699
https://twitter.com/safe_buffer/status/1469742616505954323
https://support.microsoft.com/en-us/topic/kb5008102-active-directory-security-accounts-manager-hardening-changes-cve-2021-42278-5975b463-4c95-45e1-831a-d120004e258e
https://www.bleepingcomputer.com/news/microsoft/microsoft-warns-of-easy-windows-domain-takeover-via-active-directory-bugs/
0x04 更新版本
版本 | 日期 | 批改内容 |
V1.0 | 2021-12-21 | 初次颁布 |
0x05 关于宝运莱官方网站
宝运莱官方网站简介
宝运莱官方网站公司成立于1996年，并于2010年6月23日在深交所中幼板正式挂牌上市，是国内最具实力的信息安全产品和安全治理平台、安全服务与解决规划的领航企业之一。
公司总部位于北京市中关村软件园，在全国各省、视注自治区设立分支机构六十多个，占有覆盖全国的销售系统、渠路系统和技术支持系统；并在华北、华东、西南和华南布局四大研发中心，别离为北京研发总部、上海研发中心、成都研发中心和昭通研发中心。
多年来，宝运莱官方网站致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务，援手客户全面提升其IT基础设施的安全性和出产效力，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力。
关于宝运莱官方网站
宝运莱官方网站安全应急响应中心重要针对沉要安全缝隙的预警、跟踪和分享全球最新的威胁谍报和安全汇报。
关注以下公家号，获取全球最新安全资讯：
京公网安备11010802024551号