對於維護企業內部網路的工程師來說，Active Directory (AD) 是權限管理的核心，而 Active Directory Certificate Services (AD CS，即微軟的憑證服務) 則是將身分驗證從密碼提升到憑證層級的重要工具。然而，近期發現的 Certighost 漏洞（CVE-2026-54121）揭示了一個嚴重的設計缺陷，讓僅擁有低權限的普通域用戶，就能偽裝成域控制器 (Domain Controller, DC)，進而奪取整個網域的最高控制權。
漏洞的核心：憑證申請中的 Chase 機制
要理解這個漏洞，首先要認識 AD CS 中的一個稱為 Chase 的回退機制。在正常的憑證申請流程中，當憑證授權單位 (CA) 無法直接獲取申請者（終端實體）的詳細資訊時，Windows 的註冊協定允許申請者在請求中提供兩個參數：cdc（要聯繫的 AD 伺服器）以及 rmd（要解析的機器物件）。
簡單來說，Chase 機制就像是在告訴 CA：如果你找不到我的資料，請去問這台伺服器（cdc）關於這個物件（rmd）的資訊。
問題在於，CA 在遵循這個指示去聯繫指定的伺服器時，並沒有先驗證該伺服器是否真的是一台合法的域控制器。
攻擊路徑：如何實現身分偽裝
攻擊者可以利用這個信任漏洞，建構一個偽造的環境來欺騙 CA。具體操作流程如下：
首先，攻擊者利用預設的 ms-DS-MachineAccountQuota（允許普通用戶創建電腦帳號的配額，預設通常為 10 個）創建一個受控的電腦帳號，用來通過 CA 的初步身分檢查。
接著，攻擊者在自己的機器上啟動偽造的 SMB（伺服器訊息塊，用於檔案共享與通訊）與 LDAP（輕量級目錄訪問協定，用於查詢 AD 目錄）監聽服務。
當攻擊者向 CA 申請憑證並指定偽造的 cdc 時，CA 會嘗試連接攻擊者的機器。此時，攻擊者將 CA 的驗證挑戰透過 Netlogon 協定轉發給真正的域控制器，並將真 DC 回傳的物件 SID（安全識別碼）與 DNS 主機名稱回傳給 CA。
由於 CA 相信了攻擊者提供的偽造伺服器，且驗證過程被轉發到了真 DC，CA 會認為該請求合法，最終簽發一張身分屬於域控制器的憑證給攻擊者。
從低權限到最高權限的跳躍
一旦拿到域控制器的憑證，攻擊者可以使用 PKINIT（Kerberos 初始驗證的公鑰加密機制）來偽裝成該 DC。
在 AD 環境中，DC 帳號擁有目錄複製權限。攻擊者可以使用這個高權限身分執行 DCSync 攻擊，直接從域控制器中同步出 krbtgt 帳號的密鑰。krbtgt 是 Kerberos 認證服務的關鍵金鑰，一旦掌握，攻擊者就能製造 Golden Ticket（黃金票券），實現對整個網域的永久性、最高權限控制。
微軟的修復方案與實務建議
微軟已於 2026 年 7 月 14 日發布修補程式。從技術底層來看，修補程式在 certpdef.dll 中新增了 CRequestInstance::_ValidateChaseTargetIsDC 驗證函式。
現在，CA 在執行 Chase 操作前會進行嚴格檢查：拒絕 IP 字面量、過長的名稱或包含 LDAP 特殊字元的請求；且要求目標必須是一個匹配的 AD 電腦物件，且其 userAccountControl 屬性必須包含 SERVER_TRUST_ACCOUNT（值為 8192），最後還會比對 SID 以防止物件被替換。
對於無法立即更新的環境，可以透過以下指令禁用 Chase 客戶端功能： certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC 執行後需重新啟動 CertSvc 服務。但請注意，這可能會導致部分合法的憑證申請流程失效，建議僅作為臨時緩衝。
總結與影響
Certighost 再次提醒我們，身分驗證過程中的任何信任假設（例如：假設申請者提供的伺服器地址一定是可信的）都可能成為致命漏洞。對於維運人員而言，確保 AD CS 伺服器及所有域控制器保持最新更新，並審視 ms-DS-MachineAccountQuota 的配額設定，是降低此類攻擊風險的關鍵。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。