Kerberos yetkilendirmesinde SPN içermeyen hesaplara yönelik yeni saldırı yöntemi bulundu
Öne çıkanlar
- Reflective RBCD ve U2U teknikleri birleştirilerek SPN kaydı bulunmayan hesaplar üzerinden iletilebilir Kerberos bileti elde edildi.
- Saldırının gerçekleşmesi için RC4 algoritmasının açık olması ve Makine Hesabı Kotası'nın izin vermesi gerekiyor.
- Yetki yükseltme işlemi sırasında kurban hesabın parola özeti değiştirildiği için hesap kalıcı olarak bozuluyor.
Güvenlik araştırmacıları, Kerberos kısıtlı yetkilendirme (Constrained Delegation) mimarisinde protokol geçişi bulunmayan ve Servis Birincil Adı (SPN) tanımlanmamış hesapları hedef alan yeni bir kötüye kullanım yöntemi geliştirdi. Yöntem, yansıtıcı kaynak tabanlı kısıtlı yetkilendirme (Reflective RBCD) tekniği ile kullanıcıdan kullanıcıya (U2U) kimlik doğrulama mekanizmasını bir araya getiriyor. Bu zincir sayesinde saldırganlar, hedef sistem üzerinde yetki yükseltme amacıyla gereken iletilebilir biletleri SPN kaydı olmayan hesaplar üzerinden de türetebiliyor.
Saldırı zincirinin çalışabilmesi için etki alanında RC4 şifreleme algoritmasının etkin olması, Makine Hesabı Kotası'nın (MAQ) açık bulunması ve SPN içermeyen kaynağın RBCD yapılandırmasına izin vermesi gerekiyor. İşlem adımlarında ele geçirilen kullanıcının TGT oturum anahtarı çıkarılıyor, MAQ üzerinden yeni bir bilgisayar hesabı oluşturuluyor ve kullanıcının parola özeti kendi TGT oturum anahtarıyla değiştiriliyor. Bu aşamada kullanıcının özgün parolası bozulduğu için kurban hesap işlevsiz kalıyor ancak saldırgan bu sayede U2U ile yetkili kullanıcı adına iletilebilir bilet oluşturabiliyor.
Araştırma kapsamında açık kaynaklı Impacket kütüphanesinin getST.py aracında geliştirmeler yapıldı ve S4U2Proxy isteklerinde U2U desteği sağlandı. Yapılan değişiklikler arasında kaynak tabanlı yetkilendirme bayrağının etkinleştirilmesi, biletin TGT oturum anahtarıyla şifrelenmesi için enc-tkt-in-skey seçeneğinin açılması ve hedef kullanıcı adının uygun Kerberos biçiminde iletilmesi yer alıyor. Uzmanlar, bu durumun Kerberos için sıfırıncı gün açığı olmadığını, var olan protokol özelliklerinin yeni bir istismar zincirinde birleştirilmesi olduğunu belirtiyor.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.