NetSPI 研究人員詳細披露了 Microsoft Defender for Identity（MDI）中的欺騙漏洞（CVE-2025-26685）。該漏洞雖無法單獨利用，但與其他漏洞結合時可能使攻擊者無需認證即可在 Active Directory 環境中實現權限提升。

漏洞原理分析

該漏洞源于 MDI 傳感器（用于監控橫向移動路徑）查詢網絡系統的方式。NetSPI 證實，具備網絡訪問權限的攻擊者可偽裝成目標系統，操縱 SAM-R 協議，誘使 MDI 向攻擊者機器發起認證。

研究指出："認證過程使用 SAM-R 協議，可將認證方式從 Kerberos 降級為 NTLM，導致域服務賬戶（DSA）的 Net-NTLM 哈希值被截獲。"

攻擊鏈實現

獲取 Net-NTLM 哈希值后，攻擊者可進行離線破解或用于 NTLM 中繼攻擊，從而請求 Kerberos 票據授予票據（TGT），甚至通過 ADCS（Active Directory 證書服務）配置錯誤獲取證書。

成功利用此漏洞需滿足兩個前提條件：

• 攻擊者系統必須通過手動或 Windows DHCP 集成方式在 DNS 中注冊
• 攻擊者需通過向域控制器發起空會話連接來觸發特定 Windows 事件 ID（Event ID）

NetSPI 解釋稱："MDI 傳感器將向攻擊者系統進行認證，并通過查詢本地管理員組成員來嘗試映射本地管理路徑（LMP）。"

實際攻擊演示

實驗室測試中，NetSPI 使用 Impacket、Certipy 和 NetExec 等工具，將 CVE-2025-26685 與 ESC8 等已知 ADCS 漏洞結合實現權限提升。攻擊者通過中繼捕獲的哈希值，以 DSA 上下文請求證書，最終實現域級枚舉或操控。

微軟修復建議

微軟建議從傳統 MDI 傳感器遷移至統一 XDR 傳感器（v3.x），該版本完全規避了存在漏洞的 SAM-R 協議。報告指出："傳統 MDI 傳感器將不再使用 SAM-R 查詢，改為采用強制 Kerberos 認證的 WMI 查詢。"

其他防御措施包括：

• 將 DSA 配置為組托管服務賬戶（gMSA）以降低離線破解風險
• 如非業務必需，可通過微軟支持禁用 LMP 數據收集功能
• 監控事件 ID 4624 及異常的 DSA 認證來源