#kerberos

Certighost and the Privilege Hiding in Your Certificate Authority

Lỗ hổng CVE-2026-54121 cho phép người dùng domain tiêu chuẩn biến Certificate Authority (CA) doanh nghiệp thành Domain Controller. Bản vá lỗi khá đơn giản, nhưng bài học quan trọng là quản lý đặc quyền, niềm tin ngầm định và coi hạ tầng PKI như hệ thống nhận dạng cấp 0 vốn đã có từ lâu.

Lập trình viên cần đọc bài này để hiểu cách bảo mật cơ bản của hệ thống PKI—chính là nền tảng an ninh quan trọng nhất trong các hệ thống doanh nghiệp—và tránh những lỗ hổng như CVE-2026-54121 có thể khiến một người dùng bình thường tấn công hệ thống quản trị nội bộ.

All Your GUCs in a Row: gss_accept_delegation

PostgreSQL 16 bổ sung tùy chọn gss_accept_delegation (GUC) cho phép server chấp nhận ủy quyền credential Kerberos từ client, hỗ trợ xác thực single sign-on xuyên suốt các server downstream (như postgres_fdw hay dblink) mà vẫn giữ nguyên phân quyền người dùng. Tính năng này mặc định tắt do rủi ro bảo mật khi server lưu trữ credential Kerberos khả dụng trong bộ nhớ, nhưng có thể kích hoạt nếu thỏa mãn đủ 4 điều kiện: server bật GUC, client chọn gssdelegation=1, cấu hình pg_hba.conf cho phép, và ticket Kerberos forwardable. Quản trị viên có thể kiểm tra trạng thái ủy quyền qua cột credentials_delegated trong view pg_stat_gssapi.

New Certighost PoC exploit lets attackers hijack Windows domains

Một PoC mới (proof-of-concept) có tên Certighost cho phép kẻ tấn công chiếm quyền kiểm soát miền Windows thông qua khai thác lỗ hổng xác thực.

Lập trình viên cần đọc bài này để hiểu cách bảo mật hệ thống Windows bị lỗ hổng mới có thể bị khai thác, giúp họ phát triển kiến thức về bảo vệ ứng dụng và hệ thống khỏi các tấn công domain hijacking trong tương lai.

Kerberoasting Attack Explained Step by Step

Kerberoasting is an Active Directory attack that abuses the Kerberos protocol to steal service account passwords. Any authenticated domain user can request a TGS ticket for any SPN, then crack it offline using tools like Hashcat. The attack is popular because it requires no special privileges and doesn't trigger account lockouts. Detection relies on monitoring Windows Event ID 4769 for anomalous SPN requests or RC4 ticket requests. Defenses include migrating service accounts to Group Managed Service Accounts (gMSA), enforcing AES256 encryption, using long randomly generated passwords, auditing SPN assignments, and deploying honeypot accounts to catch reconnaissance early.

BadSuccessor — Exploiting delegated Managed Service Accounts in Windows Server 2025

BadSuccessor is a privilege escalation vulnerability in Windows Server 2025 affecting Delegated Managed Service Accounts (dMSAs). A low-privileged user with CreateChild rights on an Organizational Unit can create a dMSA, link it to a Domain Administrator account via the msDS-ManagedAccountPrecededByLink attribute, and set the migration state to 'Completed'. The KDC then injects the Domain Admin's SIDs into the Kerberos ticket PAC, effectively granting Domain Admin privileges without needing the admin's password. The post covers the vulnerability mechanics, the missing permission check flaw, and provides step-by-step proof-of-concept exploitation using SharpSuccessor and Rubeus on Windows, and bloodyAD with impacket on Kali Linux.

Exploiting Resource-Based Constrained Delegation (RBCD)

Bài viết hướng dẫn chi tiết cách khai thác Resource-Based Constrained Delegation (RBCD) trong môi trường Active Directory, khác biệt với cơ chế ủy quyền cổ điển bằng cách chấp nhận ticket không chuyển tiếp (non-forwardable). Kẻ tấn công cần quyền ghi trên đối tượng máy tính và tài khoản có SPN (hoặc tạo mới qua MachineAccountQuota), sau đó sử dụng công cụ như Impacket, BloodyAD (Linux) hoặc Powermad, Rubeus (Windows) để tạo máy giả mạo, cấu hình RBCD, lấy ticket dịch vụ mạo danh quản trị viên, rồi chiếm quyền hoặc trích xuất thông tin đăng nhập.

Là một lập trình viên phát triển hệ thống an ninh hoặc nghiên cứu cơ sở hạ tầng Active Directory, bài viết này giúp bạn hiểu rõ cách khai thác lỗ hổng Constrained Delegation dựa trên tài nguyên để tấn công, từ đó cải thiện kiến thức bảo mật và xây dựng các giải pháp phòng thủ hiệu quả.

Certified AD Red Team Specialist (AD-RTS): Full Exam Write-Up

A detailed exam write-up for the CyberWarfare Labs AD-RTS (Active Directory Red Team Specialist) certification, covering two full adversary paths through a simulated telecom enterprise environment. Path 1 starts from zero credentials and chains DNS zone transfer abuse, ASREPRoasting, SQL Server xp_cmdshell, GodPotato privilege escalation, ADCS ESC1 certificate abuse, and VMware ESXi hypervisor pivoting to reach Domain Admin and guest VM code execution. Path 2 begins with a low-privilege IIS foothold and exploits ASP.NET ViewState deserialization via a leaked machine key, DPAPI-protected registry credentials, a second ESC1 ADCS template, Exchange ApplicationImpersonation abuse, and hardcoded credentials in scheduled task scripts. The write-up emphasizes understanding attack chains over individual exploits, and closes with defensive recommendations around certificate template hardening, credential hygiene, and RBAC scoping for Exchange impersonation roles.

Upcoming Change: NTLM Removal in Git (libcurl) – Impact to Azure DevOps Server Customers

In September 2026, NTLM support will be removed from libcurl, which Git uses for HTTPS operations. This directly impacts Azure DevOps Server (on-premises) customers who rely on NTLM authentication — including those who may unknowingly depend on it via SPNEGO/Negotiate silent fallback. The post explains how to detect whether your Git connections are using NTLM or Kerberos (via klist, GIT_TRACE_CURL, or a PowerShell token inspection snippet), and outlines migration steps: properly configuring Kerberos end-to-end with correct SPNs, IIS settings, and domain controller connectivity. For environments where Kerberos is not feasible (workgroup machines, non-domain-joined clients), SSH is recommended as an alternative. Downgrading Git or re-enabling NTLM after removal are explicitly discouraged.

Enable self-managed AD Kerberos authentication with Amazon RDS for Db2

Step-by-step guide for configuring Kerberos authentication on Amazon RDS for Db2 using a self-managed Active Directory. Covers creating a dedicated OU and service account, delegating nine specific AD permissions (including the non-obvious use of ADSI Edit for servicePrincipalName on User objects), storing credentials in a KMS-encrypted Secrets Manager secret, and validating the setup from a domain-joined Amazon Linux 2023 EC2 client. Also addresses networking requirements (DNS, Kerberos, LDAP, RPC dynamic ports) and common pitfalls like incorrect object scoping and username format in Secrets Manager.