Adcs on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

EKU OID in ADCS: Guida Completa per il Penetration Testing su Active Directory

Thu, 02 Jul 2026 00:00:00 +0000

EKU OID ADCS: Identificazione e Abuso nei Certificate Template #

Se hai mai letto l’output di certify.exe find o certipy find, avrai visto numeri come 1.3.6.1.5.5.7.3.2 accanto a voci come “Client Authentication”. Quei numeri si chiamano OID (Object Identifier) e definiscono a cosa serve un certificato X.509. In fase offensiva su Active Directory, capire quali OID rendono un certificate template sfruttabile è la differenza tra trovare un vettore di privilege escalation e passarci davanti senza vederlo.

ESC15 ADCS (CVE-2024-49019): EKUwu e Injection di Application Policies

Tue, 10 Mar 2026 00:00:00 +0000

ESC15 è una tecnica di Active Directory Privilege Escalation tramite AD CS scoperta da Justin Bollinger (TrustedSec) e identificata come CVE-2024-49019, soprannominata dalla community EKUwu.

Questa vulnerabilità colpisce Certificate Authority non patchate (pre-Novembre 2024) e permette a un attaccante di iniettare Application Policies arbitrarie dentro un certificato emesso da template V1.

In pratica l’attaccante può aggiungere EKU non previsti dal template, ottenendo capacità che il template non dovrebbe concedere.

Esempio tipico:

ESC16 ADCS: CA con SID Security Extension Disabilitata

Tue, 10 Mar 2026 00:00:00 +0000

ESC16 è una tecnica di Active Directory Privilege Escalation tramite AD CS in cui la Certificate Authority è configurata per disabilitare globalmente la SID security extension nei certificati emessi.

Questa estensione:

text

1.3.6.1.4.1.311.25.2

(szOID_NTDS_CA_SECURITY_EXT)

contiene il SID dell’account AD e viene usata dai Domain Controller per il strong certificate mapping introdotto con gli update di sicurezza del 2022 (KB5014754).

ESC10 ADCS: Privilege Escalation tramite Weak Certificate Mapping Schannel

Mon, 09 Mar 2026 00:00:00 +0000

ESC10 è una tecnica di Active Directory Privilege Escalation tramite AD CS che sfrutta weak certificate mapping in Schannel authentication. Schannel è il componente Windows usato per TLS authentication su servizi come LDAPS, IIS HTTPS e altri servizi TLS enterprise.

A differenza di Kerberos PKINIT, il comportamento di Schannel non dipende dal parametro StrongCertificateBindingEnforcement, ma dalla configurazione del registro:

text

HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\CertificateMappingMethods

Se questo valore include il flag 0x4 (UPN mapping), Schannel può mappare un certificato a un account Active Directory solo usando l’UPN nel certificato, ignorando il SID contenuto nella security extension.

ESC11 ADCS: NTLM Relay verso RPC Enrollment della Certificate Authority

Mon, 09 Mar 2026 00:00:00 +0000

ESC11 è una tecnica di Active Directory Privilege Escalation tramite AD CS che sfrutta NTLM Relay verso l’interfaccia RPC della Certificate Authority. A differenza di ESC8, che colpisce gli endpoint web /certsrv/, ESC11 prende di mira direttamente l’interfaccia RPC usata dai client per richiedere certificati.

Questa interfaccia utilizza RPC per operazioni di enrollment tramite API come:

ICertRequestD
ICertPassage
interfaccia ICPR (ICertPassage Remote)

Il problema nasce quando la CA non richiede encryption per le richieste RPC. In condizioni sicure la CA dovrebbe imporre il livello di autenticazione:

ESC12 ADCS: Compromissione della CA tramite YubiHSM2

Mon, 09 Mar 2026 00:00:00 +0000

ESC12 è una tecnica di Active Directory Privilege Escalation tramite AD CS che riguarda un caso molto specifico: l’uso di YubiHSM2 per proteggere la chiave privata della Certificate Authority. A differenza delle altre tecniche ESC, qui il problema non è una misconfiguration di AD CS ma una possibile vulnerabilità nel software stack del dispositivo HSM o nella sua integrazione con il server CA.

In alcune ricerche della community (in particolare quelle di Hans-Joachim Knobloch) è stato dimostrato che, in determinate condizioni, un attaccante con accesso shell a basso privilegio sul server della CA potrebbe riuscire a interagire con il YubiHSM2 Key Storage Provider (KSP) in modo non previsto.

ESC13 ADCS: Privilege Escalation tramite Issuance Policy OID

Mon, 09 Mar 2026 00:00:00 +0000

ESC13 è una tecnica di Active Directory Privilege Escalation tramite AD CS che sfrutta una configurazione pericolosa tra Issuance Policy OID e gruppi Active Directory. In questo scenario un template di certificato include una Issuance Policy OID che, nella configurazione PKI di Active Directory, è collegata a un gruppo AD tramite l’attributo msDS-OIDToGroupLink.

Quando un utente autentica tramite certificato (PKINIT), il KDC legge l’OID presente nel certificato e verifica se quell’OID è collegato a un gruppo. Se esiste un collegamento, il SID del gruppo viene aggiunto al Kerberos TGT all’interno del PAC.

ESC14 ADCS: Weak Explicit Certificate Mapping via altSecurityIdentities

Mon, 09 Mar 2026 00:00:00 +0000

ESC14 è una tecnica di Active Directory Privilege Escalation tramite AD CS che sfrutta configurazioni deboli dell’attributo altSecurityIdentities negli oggetti Active Directory. Questo attributo permette di creare explicit certificate mapping, cioè associare manualmente un certificato X.509 a un account AD per l’autenticazione.

Quando altSecurityIdentities è configurato, Active Directory può usare questa associazione per autenticare direttamente l’utente tramite certificato, bypassando i normali meccanismi di mapping basati su:

SAN UPN
DNS name
SID security extension

Il problema nasce quando la stringa di mapping è troppo generica o facilmente replicabile. In questo caso un attaccante può ottenere o creare un certificato con gli stessi attributi e impersonare l’account associato.

ESC8 ADCS: NTLM Relay contro Web Enrollment per Domain Admin

Sun, 08 Mar 2026 00:00:00 +0000

ESC8 è una tecnica di Active Directory Privilege Escalation tramite AD CS che sfrutta NTLM Relay contro gli endpoint HTTP di enrollment della Certificate Authority. In pratica l’attaccante intercetta un’autenticazione NTLM di un account privilegiato e la inoltra al servizio web di AD CS per ottenere un certificato a nome della vittima.

I target principali sono gli endpoint web di enrollment:

http://<CA>/certsrv/
https://<CA>/certsrv/
CES (Certificate Enrollment Service)
CEP (Certificate Enrollment Policy)

⚠️ Certipy supporta il relay solo verso il classico Web Enrollment /certsrv/, in particolare l’endpoint:

ESC9 ADCS: Privilege Escalation tramite Template senza SID Security Extension

Sun, 08 Mar 2026 00:00:00 +0000

ESC9 ADCS: PrivEsc a Domain Admin via Weak Certificate Mapping | Certipy Exploitation + Event 39/41 Detection + Mitigazione (KB5014754) 2026 #

ESC9 è una misconfiguration critica in Active Directory Certificate Services (ADCS) che consente di escalare privilegi impersonando utenti privilegiati come Domain Admin. A differenza di altre ESC (ESC1, ESC2, ecc.), ESC9 non si basa su problemi di enrollment diretti, ma su certificate mapping debole — il processo attraverso il quale Active Directory associa un certificato a un account AD.

ESC3 ADCS Privilege Escalation: Exploit Active Directory con Certipy

Sat, 07 Mar 2026 00:00:00 +0000

ESC3 è una tecnica di Active Directory Privilege Escalation tramite AD CS che sfrutta i Enrollment Agent certificates.

Un Enrollment Agent è un account autorizzato a richiedere certificati per conto di altri utenti.

Se un attaccante riesce a ottenere un certificato con EKU:

text

1.3.6.1.4.1.311.20.2.1
Certificate Request Agent

può richiedere certificati per qualsiasi utente del dominio, inclusi Domain Admin.

ESC4 ADCS Privilege Escalation: Template Hijacking con Certipy

Sat, 07 Mar 2026 00:00:00 +0000

ADCS ESC4: Privilege Escalation via Permessi sui Certificate Template #

ESC4 è una tecnica di privilege escalation su Active Directory che sfrutta permessi di scrittura su un certificate template. I certificate template sono oggetti AD — se un attaccante ha i permessi per modificarli, può trasformare un template sicuro in uno vulnerabile (tipicamente ESC1) e ottenere certificati per qualsiasi utente del dominio, Administrator incluso.

I template vivono in AD sotto:

ESC5 ADCS Privilege Escalation: Golden Certificate e CA Compromise con Certipy

Sat, 07 Mar 2026 00:00:00 +0000

ESC5 è una tecnica di Active Directory Privilege Escalation tramite AD CS che sfrutta ACL deboli su oggetti PKI in Active Directory.

A differenza di:

ESC4 → ACL sui certificate template
ESC7 → permessi sulla CA

ESC5 riguarda altri oggetti PKI nel Configuration container.

Dove si trovano questi oggetti #

Gli oggetti PKI sono salvati in:

text

CN=Public Key Services,CN=Services,CN=Configuration

Esempi importanti:

ESC6 ADCS Privilege Escalation: SAN Injection tramite CA Flag (Certipy Exploit)

Sat, 07 Mar 2026 00:00:00 +0000

ESC6 è una tecnica di Active Directory Privilege Escalation tramite AD CS che non colpisce i template ma direttamente la Certificate Authority.

Quando la CA ha attivo il flag EDITF_ATTRIBUTESUBJECTALTNAME2, gli utenti possono specificare Subject Alternative Name (SAN) arbitrari nelle richieste di certificato. Questo comportamento agisce come un override globale della CA, permettendo di inserire UPN o SID personalizzati anche su template che normalmente non lo consentirebbero.

Nelle infrastrutture moderne patchate (post maggio 2022) ESC6 da solo non è sufficiente per impersonare altri utenti. Deve essere combinato con ESC9 ADCS o ESC16 ADCS, che rimuovono la SID Security Extension dal certificato.

ESC7 ADCS: Privilege Escalation Tramite Manage CA su Active Directory

Sat, 07 Mar 2026 00:00:00 +0000

ESC7 è una tecnica di Active Directory Privilege Escalation tramite AD CS che deriva da permessi pericolosi direttamente sulla Certificate Authority. In particolare quando un attaccante ottiene diritti come Manage CA o Manage Certificates, che permettono di controllare il comportamento della CA e il processo di emissione dei certificati.

Il permesso Manage CA (ManageCa) è il più critico. Consente di modificare la configurazione della CA, pubblicare template, assegnare ruoli (come Certificate Officer), avviare o fermare il servizio CA e modificare la sicurezza. Con questo livello di accesso un attaccante può forzare l’emissione di certificati arbitrari e ottenere accesso completo al dominio.

AD CS Privilege Escalation: Tutte le Tecniche ESC1–ESC16 con Certipy (Active Directory Attack Guide)

Fri, 06 Mar 2026 00:00:00 +0000

Active Directory Certificate Services (AD CS) è uno dei vettori più potenti di privilege escalation in Active Directory. Una singola misconfiguration nei certificate template o nella Certificate Authority può permettere a un utente di dominio di autenticarsi come Domain Admin — spesso con un solo comando.

Le tecniche ESC1–ESC16 sfruttano errori di configurazione nei template di certificato, nella CA e nel certificate mapping dei Domain Controller. In molti ambienti aziendali queste debolezze restano presenti per anni senza essere auditate, rendendo AD CS una delle superfici di attacco più efficaci nei penetration test interni.

ESC1 ADCS Privilege Escalation: Exploit Active Directory con Certipy

Fri, 06 Mar 2026 00:00:00 +0000

ESC1 è la misconfigurazione più classica e pericolosa di AD CS. Permette a un utente con pochi privilegi di ottenere un certificato impersonando qualsiasi account del dominio, inclusi Domain Admin.

Il problema nasce quando un certificate template consente all’utente di specificare manualmente l’identità nel certificato.

Se il template permette di inserire un UPN arbitrario nel SAN, l’attaccante può richiedere un certificato per:

text

administrator@corp.local

e autenticarsi come Administrator.

ESC2 ADCS Privilege Escalation: Exploit Active Directory con Certipy

Fri, 06 Mar 2026 00:00:00 +0000

ESC2 è una tecnica di Active Directory Privilege Escalation tramite AD CS che nasce quando un certificate template permette di ottenere un certificato con Any Purpose EKU oppure nessun EKU definito.

In pratica il certificato può essere usato per qualsiasi scopo, inclusi:

client authentication
server authentication
code signing
enrollment agent

OID dell’Any Purpose EKU:

text

2.5.29.37.0

Questo implica automaticamente anche: