CVE-2014-6324

Falha no KDC (Key Distribution Center) do Kerberos em versões antigas do Windows Server que permite a um usuário de domínio autenticado, mas sem privilégios, forjar a assinatura do PAC (Privilege Attribute Certificate) de um ticket Kerberos e se declarar membro do grupo Domain Admins. O resultado prático é escalonamento de usuário comum para administrador de domínio, comprometendo qualquer máquina do domínio, incluindo os próprios controladores de domínio. A Microsoft já divulgou o boletim afirmando que havia ataques limitados e direcionados explorando a falha antes da correção, o que a colocou imediatamente no radar de resposta a incidentes em novembro de 2014.

A falha (CWE-347, verificação inadequada de assinatura criptográfica) está na forma como o KDC valida o PAC embutido em um ticket Kerberos (TGT). O PAC carrega os SIDs de grupo do usuário — incluindo, potencialmente, o SID de Domain Admins — e deveria ser assinado pelo KDC para impedir manipulação pelo cliente. O boletim MS14-068 descreve a correção como 'corrigindo o comportamento de verificação de assinatura nas implementações Windows do Kerberos', ou seja, o KDC aceitava um PAC cuja assinatura/checksum não correspondia corretamente ao conteúdo, permitindo que um cliente adulterasse os SIDs de grupo antes de o ticket ser processado.

O atacante controla o conteúdo do PAC que envia embutido em uma requisição de autenticação Kerberos legítima — usando suas próprias credenciais de domínio válidas — e o KDC, por causa da verificação falha, aceita e re-assina esse PAC adulterado como se fosse genuíno. O ticket resultante é criptograficamente válido do ponto de vista dos serviços que o consomem, porque a assinatura final é aplicada pelo próprio KDC sobre dados que ele deveria ter rejeitado.

Um ponto central que a descrição da CVE mistura e que o próprio boletim da Microsoft separa: a vulnerabilidade existe apenas no papel de KDC, presente apenas em Windows Server atuando como controlador de domínio (Server 2003, Server 2008, Server 2008 R2, Server 2012, Server 2012 R2). Windows Vista, Windows 7, Windows 8 e Windows 8.1 recebem a mesma atualização, mas o boletim classifica o impacto nesses sistemas como 'No severity rating', explicando que a atualização ali é apenas hardening de defesa em profundidade — esses sistemas cliente não expõem o componente vulnerável porque não rodam o serviço KDC.

Pré-requisito real: o atacante precisa de uma conta de domínio válida e autenticada (PR:L no vetor CVSS) — não é uma falha explorável anonimamente pela rede. Com essa credencial, ele envia uma requisição de autenticação Kerberos manipulada ao controlador de domínio, embutindo no PAC uma reivindicação de pertencimento a grupos privilegiados (notavelmente Domain Admins). O KDC vulnerável valida e assina esse ticket adulterado, entregando ao atacante um TGT que qualquer serviço da floresta aceitará como prova de privilégio administrativo total.

A exploração não exige interação do usuário, acesso físico ou condições de rede exóticas além de alcançar o KDC na porta Kerberos padrão — daí o AV:N/AC:L no vetor. A Microsoft confirmou, no próprio dia da divulgação, exploração limitada e direcionada em ambientes reais antes da liberação da atualização, o que motivou a publicação fora do ciclo normal de patches. A falha está no catálogo KEV da CISA, há PoC pública amplamente conhecida (o exploit em Python que forja o PAC, difundido logo após a divulgação) e existe módulo no Metasploit, o que baixou drasticamente a barreira técnica: qualquer ferramenta de red team ou atacante com uma única conta de usuário comprometida em um domínio não corrigido consegue, na prática, virar administrador de domínio em minutos.

O impacto final é total: controle administrativo sobre o domínio Active Directory, incluindo os controladores de domínio, o que na cadeia de comprometimento equivale a controle irrestrito de toda a infraestrutura Windows dependente daquele domínio.

A correção é aplicar a atualização de segurança MS14-068 (KB3011780) em todos os controladores de domínio Windows Server 2003 SP2, Windows Server 2008 SP2, Windows Server 2008 R2 SP1, Windows Server 2012 e Windows Server 2012 R2. Não existe mitigação de configuração equivalente: a falha está na lógica de verificação do KDC, então nenhuma política de grupo, nível funcional de domínio ou hardening de conta substitui o patch nos controladores de domínio.

A mesma atualização também é distribuída para Windows Vista SP2, Windows 7 SP1, Windows 8 e Windows 8.1, mas ali o próprio boletim da Microsoft classifica o impacto como inexistente ('No severity rating') — a instalação nesses sistemas cliente é apenas reforço defensivo, não correção de uma falha presente neles. Priorize os controladores de domínio; eles são o componente realmente exposto.

Um mito a descartar: isolar contas privilegiadas ou monitorar contas de Domain Admins não mitiga a falha, porque o ataque não depende de comprometer uma conta admin — ele cria privilégio administrativo a partir de qualquer conta de domínio comum através do ticket forjado. Segmentação de rede reduz superfície de quem alcança o KDC, mas qualquer usuário de domínio interno autenticado continua explorando a falha até o patch ser aplicado.

Ferramentas de detecção de ataques ao Active Directory de época (como o Microsoft Advanced Threat Analytics, lançado pouco depois) passaram a incluir uma detecção específica para 'PAC forjado' voltada a esta técnica, comparando o conteúdo do PAC com os grupos reais do usuário no diretório. Em ambientes sem essa telemetria dedicada, os eventos de autenticação Kerberos padrão (4768/4769 no log de segurança do controlador de domínio) não trazem por si só um indicador único e confiável de exploração — a anomalia está no conteúdo do PAC dentro do ticket, não em um campo de log padrão visível a olho nu.

Na ausência de detecção dedicada a PAC forjado, o sinal indireto mais prático é correlacionar contas de domínio comuns realizando ações administrativas (acesso a DCs, criação de contas privilegiadas, DCSync) sem histórico prévio de tais privilégios — um padrão de uso de privilégio inconsistente com o grupo real da conta no diretório.