Certifried

Définition

Certifried, référencée CVE-2022-26923, est une vulnérabilité critique découverte en 2022 affectant l'infrastructure AD CS (Active Directory Certificate Services), exploitant une faille dans la validation de l'attribut dNSHostName lors de l'inscription automatique de certificats pour des comptes ordinateur. La faille permettait à un utilisateur disposant du droit de créer des comptes machine, un privilège accordé par défaut à tout utilisateur authentifié via le Machine Account Quota, de modifier l'attribut dNSHostName de son propre compte ordinateur nouvellement créé pour y inscrire le nom d'un contrôleur de domaine existant, puis de demander un certificat d'authentification via le modèle Machine par défaut, obtenant ainsi un certificat valide permettant de s'authentifier comme le contrôleur de domaine usurpé. Cette technique combinait ainsi deux faiblesses distinctes de configuration par défaut d'un environnement Active Directory standard : un Machine Account Quota non restreint et un modèle de certificat Machine insuffisamment restrictif sur la validation de l'identité déclarée. Microsoft a publié un correctif en mai 2022, renforçant la validation du mappage entre certificat et compte cible via un mécanisme de correspondance fort (Strong Certificate Mapping). Certifried illustre l'importance de la combinaison de faiblesses individuellement mineures, chacune souvent négligée isolément, pouvant aboutir collectivement à une compromission complète du domaine via l'infrastructure PKI.