Active Directory Sertifika Hizmetleri’nde (AD CS) ciddi bir sıfır gün zafiyeti olan CVE-2024-49019’u ortaya çıktı.
Bu zafiyet, özellikle “default version 1 certificate templates” yapılandırmalarındaki bir özelliği istismar ediyor. Bu durum, saldırganların sertifika alma yetkileriyle kritik ayrıcalıklar kazanmasına yol açabiliyor. Microsoft, zafiyeti Kasım ayı güncellemelerinde yamalamış olsa da etkileri hala dikkatle incelenmesi gereken bir tehdit oluşturuyor. CVE-2024-49019’un CVSS puanı 7.8 olarak belirlendi.
Zafiyetin Detayları
Saldırganların bir sertifika imzalama talebini (CSR) manipüle ederek sertifika şablonlarındaki “Genişletilmiş Anahtar Kullanımı” özelliklerini atlatmasını mümkün kılıyor. Bu yöntemle saldırganlar istemci kimlik doğrulama, kod imzalama veya sertifika talep aracısı gibi ayrıcalıkları kötüye kullanabiliyor.
Zafiyetin Etkileri
Araştırmalar, CVE-2024-49019’un farklı ortamlarda test edildiğini ve 15 müşteriden 10’unun bu açıktan etkilenebileceğini belirtti. Bu açığı istismar eden saldırganlar, etki alanı yöneticisi ayrıcalıklarını elde edebilir ve hatta yetkisiz sertifikalarla kod imzalama işlemleri gerçekleştirebilir. Araştırmacılar, saldırıyı yaygınlaştırmak için komuta ve kontrol (C2) altyapılarında kullanılabilecek Beacon Object Files (BOF) araçlarını geliştirdi.
Araştırmacılar, bu zafiyetin bir yanlış yapılandırma olmadığını, temel bir hata olduğunu vurguladı ve bu yöntemi “ESC15” olarak adlandırdı. Daha önce keşfedilen ESC1 ve ESC2 teknikleriyle karşılaştırıldığında ESC15, doğrudan bir yazılım hatasını hedef alıyor.
Korunma Yöntemleri
Microsoft, zafiyete karşı alınabilecek önlemleri şu şekilde sıraladı:
- Yetki Kısıtlamaları: Sertifika alma izinleri yalnızca gerekli hesaplara verilmelidir.
- Kullanılmayan Şablonları Silin: Gereksiz sertifika şablonlarını kaldırarak saldırı yüzeyini daraltın.
- Şablon Güvenliğini Artırın: Ek imza doğrulama gereklilikleri, sertifika yöneticisi onayları ve şablonların kötüye kullanımına karşı izleme mekanizmaları devreye alınmalıdır.
- Kaynak Adının Ayarlarını Kontrol Edin: Özellikle varsayılan version 1 certificate templates kullanıyorsanız, ensure that the “Source of subject name” setting is not configured as “Supplied in the request.”