Kerentanan CVE dan Salah Konfigurasi

README menempatkan hampir semua jalur eskalasi di dalam satu bagian, ## Privilege Escalation, lalu memecahnya menjadi subbagian per teknik (README.md:63). Halaman ini membahas dua keluarga yang tidak bergantung pada tiket Kerberos: CVE yang ditutup dengan patch, dan salah konfigurasi yang tetap terbuka walaupun patch sudah terpasang. Penyalahgunaan delegation dan tiket dibahas terpisah di Kerberos Delegation dan Penyalahgunaan Tiket, termasuk CVE-2020-17049 Kerberos Bronze Bit yang muncul di subbagian delegation (README.md:100-102).

Dua keluarga jalur eskalasi

Subbagian pertama berisi CVE dan kelemahan fitur: BadSuccessor (README.md:65-67), sAMAccountName Spoofing (README.md:69-71), AD CS (README.md:73-75), PetitPotam (README.md:77-79), Zerologon (README.md:81-84), password di SYSVOL dan Group Policy Preferences (README.md:86-88), MS14-068 (README.md:90-93), dan DNSAdmins (README.md:95-97). Keluarga kedua tidak menunggu patch: hak akses longgar pada GPO (README.md:125-131), ACL (README.md:133-142), dan domain trust (README.md:144-153).

graph TD
  subgraph CVE["CVE dan kelemahan fitur"]
    zl["CVE-2020-1472 Zerologon"]
    ms["MS14-068 CVE-2014-6324"]
    sa["CVE-2021-42278 dan CVE-2021-42287"]
    bs["BadSuccessor dMSA"]
    pp["PetitPotam"]
  end
  subgraph MIS["Salah konfigurasi"]
    adcs["AD CS"]
    acl["Insecure ACLs"]
    gpo["Insecure GPO Permission Rights"]
    gpp["GPP password di SYSVOL"]
    tr["Domain Trusts"]
    dns["DNSAdmins"]
  end
  zl --> da
  ms --> da
  sa --> da
  bs --> da
  dns --> da
  pp --> relay["NTLM relay"]
  relay --> da
  adcs --> ca["Certificate Authority"]
  ca --> da
  acl --> aclobj["Objek AD dengan permission longgar"]
  aclobj --> da
  gpo --> gpoobj["GPO yang dapat diedit"]
  gpoobj --> da
  gpp --> cred["Kredensial di SYSVOL"]
  cred --> da
  tr --> forest["Trust antar forest atau domain"]
  forest --> da
  da["Domain Admin"]
  style zl fill:#dc2626,color:#fff
  style ms fill:#dc2626,color:#fff
  style sa fill:#dc2626,color:#fff
  style bs fill:#dc2626,color:#fff
  style pp fill:#dc2626,color:#fff
  style adcs fill:#f59e0b,color:#000
  style acl fill:#f59e0b,color:#000
  style gpo fill:#f59e0b,color:#000
  style gpp fill:#f59e0b,color:#000
  style tr fill:#f59e0b,color:#000
  style dns fill:#f59e0b,color:#000
  style relay fill:#8b5cf6,color:#fff
  style cred fill:#8b5cf6,color:#fff
  style ca fill:#336791,color:#fff
  style aclobj fill:#336791,color:#fff
  style gpoobj fill:#336791,color:#fff
  style forest fill:#336791,color:#fff
  style da fill:#2d7d46,color:#fff
%% fig: Dua keluarga jalur eskalasi menuju domain admin
%% desc: CVE pada protokol dan salah konfigurasi direktori sama-sama berujung pada satu hasil, yaitu eksekusi sebagai domain admin.

Fig. 1: Dua keluarga jalur eskalasi menuju domain adminCVE pada protokol dan salah konfigurasi direktori sama-sama berujung pada satu hasil, yaitu eksekusi sebagai domain admin.

Kedua keluarga bermuara pada hasil yang sama, dan README memberi nama subbagiannya sesuai hasil itu. Subbagian AD CS disebut "Domain Escalation" (README.md:73-75), sedangkan salah satu rujukan Zerologon berjudul "Zerologon: instantly become domain admin by subverting Netlogon cryptography" (README.md:81-84).

Linimasa CVE dan dampaknya

Tabel Important Security Updates mengurutkan sembilan CVE dari 2014 sampai 2021 beserta deskripsi dampaknya (README.md:544-555). Rentang itu memperlihatkan dua gelombang: serangan pada protokol autentikasi inti, dan serangan pada jalur pendukung seperti SMBv1, RDP, Exchange, serta NTLM MIC.

gantt
  dateFormat YYYY-MM-DD
  axisFormat %Y
  section CVE di README
  MS14-068 CVE-2014-6324 Kerberos checksum          :2014-01-01, 365d
  MS14-025 CVE-2014-1812 GPP password in SYSVOL     :2014-01-01, 365d
  CVE-2016-0128 BADLOCK SAM and LSAD downgrade      :2016-01-01, 365d
  CVE-2017-0143 SMBv1 remote code execution         :2017-01-01, 365d
  CVE-2018-8581 Exchange elevation of privilege     :2018-01-01, 365d
  CVE-2019-0683 forest trust TGT delegation          :2019-01-01, 365d
  CVE-2019-0708 RDP remote code execution           :2019-01-01, 365d
  CVE-2019-1040 NTLM MIC bypass                     :2019-01-01, 365d
  CVE-2020-1472 Zerologon Netlogon secure channel   :2020-01-01, 365d
  CVE-2020-17049 Kerberos Bronze Bit                :2020-01-01, 365d
  CVE-2021-42278 sAMAccountName spoofing            :2021-01-01, 365d
  CVE-2021-42287 sAMAccountName spoofing            :2021-01-01, 365d
  section Tanpa nomor CVE
  BadSuccessor abuse fitur dMSA di Windows Server 2025 :2025-01-01, 365d
%% fig: Linimasa CVE Active Directory menurut tahun terbit
%% desc: Setiap batang menandai tahun sebuah CVE muncul di README, dari MS14-068 pada 2014 sampai pasangan CVE sAMAccountName pada 2021.

Fig. 2: Linimasa CVE Active Directory menurut tahun terbitSetiap batang menandai tahun sebuah CVE muncul di README, dari MS14-068 pada 2014 sampai pasangan CVE sAMAccountName pada 2021.

CVE	Judul di README	Dampak menurut deskripsi README	Rujukan
CVE-2020-1472	Netlogon Elevation of Privilege Vulnerability	penyerang membangun koneksi Netlogon secure channel yang rentan ke domain controller lewat MS-NRPC, lalu menjalankan aplikasi yang disusun khusus	README.md:547
CVE-2019-1040	Windows NTLM Tampering Vulnerability	penyerang man-in-the-middle melewati proteksi NTLM MIC	README.md:548
CVE-2019-0683	Active Directory Elevation of Privilege Vulnerability	default setting pada forest trust membiarkan penyerang di trusting forest meminta delegation TGT untuk identitas dari trusted forest	README.md:549
CVE-2019-0708	Remote Desktop Services Remote Code Execution Vulnerability	penyerang tanpa autentikasi mengirim request khusus ke RDP	README.md:550
CVE-2018-8581	Microsoft Exchange Server Elevation of Privilege Vulnerability	eskalasi hak akses di Microsoft Exchange Server	README.md:551
CVE-2017-0143	Windows SMB Remote Code Execution Vulnerability	eksekusi kode arbitrer lewat paket khusus ke server SMBv1	README.md:552
CVE-2016-0128	Windows SAM and LSAD Downgrade Vulnerability (BADLOCK)	protocol-downgrade man-in-the-middle dan impersonasi user dengan mengubah data stream client-server	README.md:553
CVE-2014-6324	Vulnerability in Kerberos Could Allow Elevation of Privilege (MS14-068)	KDC menerima signature palsu di dalam tiket sehingga domain user memperoleh hak domain administrator; dieksploitasi di lapangan November 2014	README.md:554
CVE-2014-1812	Group Policy Preferences Password Elevation of Privilege (MS14-025)	distribusi password tidak ditangani dengan benar sehingga user terautentikasi memperoleh kredensial dari share SYSVOL	README.md:555

BadSuccessor tidak punya nomor CVE di README. README menyebutnya sebagai teknik yang menyalahgunakan "a vulnerability in a feature introduced in Windows Server 2025" (README.md:362).

Protokol autentikasi: Zerologon dan MS14-068

Zerologon menyerang Netlogon secure channel. Subbagiannya mengumpulkan tiga rujukan: Cobalt Strike ZeroLogon-BOF, POC CVE-2020-1472, dan tulisan Secura tentang menyubversi kriptografi Netlogon (README.md:81-84).

⚠️ Patch Zerologon mengubah perilaku Netlogon secure channel. README menautkan panduan Microsoft "How to manage the changes in Netlogon secure channel connections associated with CVE-2020-1472" agar perubahan itu dikelola, bukan sekadar dipasang (README.md:580).

MS14-068 menyerang KDC. Subbagiannya menautkan advisory MS14-068, "Digging into MS14-068, Exploitation and Defence", dan "From MS14-068 to Full Compromise – Step by Step" (README.md:90-93). CVE-2014-6324 di tabel mencatat eksploitasi di lapangan pada November 2014 (README.md:554).

⚠️ README menaruh MS14-068 di antara patch yang wajib terpasang sebelum menjalankan DCPromo (README.md:519).

Untuk sisi deteksi, tabel Detection memetakan PYKEK MS14-068 ke event 4672, 4624, dan 4768 (README.md:568). Pembacaan lengkap event tersebut ada di Deteksi Berbasis Event ID dan Sysmon.

sAMAccountName spoofing dan BadSuccessor

sAMAccountName Spoofing memakai pasangan CVE-2021-42287/CVE-2021-42278; subbagiannya menautkan tulisan "sAMAccountName spoofing" dan "CVE-2021-42287/CVE-2021-42278 Weaponisation" (README.md:69-71). Di daftar Tools & Scripts, README menyebut sam-the-admin sebagai exploit CVE-2021-42278 dan CVE-2021-42287 untuk menyamar sebagai DA dari domain user biasa, serta noPac sebagai scanner sekaligus exploiter pasangan CVE yang sama (README.md:394-395).

BadSuccessor menyalahgunakan dMSA pada Windows Server 2025. Subbagiannya menautkan tulisan Akamai tentang penyalahgunaan dMSA untuk eskalasi di Active Directory dan tulisan Medium tentang operasionalisasinya untuk eskalasi domain (README.md:65-67). Keduanya memperlakukan dMSA sebagai jalur eskalasi, bukan sebagai fitur yang perlu dikonfigurasi dengan hati-hati.

Coercion dan relay: PetitPotam

PetitPotam memaksa host Windows melakukan autentikasi ke mesin lain, lalu autentikasi itu di-relay. Subbagian PetitPotam menautkan repository PetitPotam dan tulisan "From Stranger to DA // Using PetitPotam to NTLM relay to Domain Administrator" (README.md:77-79). Bahan pendukungnya ada di daftar Tools & Scripts: SpoolSample disebut sebagai PoC untuk memaksa host Windows terautentikasi ke mesin lain lewat interface RPC MS-RPRN (README.md:387), sedangkan SpoolerScanner memeriksa apakah MS-RPRN dapat dijangkau dari jarak jauh (README.md:453).

graph LR
  atk["Penyerang"] -->|MS-RPRN| host["Host Windows dengan Spooler"]
  host -->|autentikasi terpaksa| ntlm["NTLM authentication"]
  ntlm -->|relay| dc["Domain Controller"]
  dc --> da["Domain Admin"]
  style atk fill:#f59e0b,color:#000
  style host fill:#8b5cf6,color:#fff
  style ntlm fill:#8b5cf6,color:#fff
  style dc fill:#336791,color:#fff
  style da fill:#2d7d46,color:#fff
%% fig: Rantai coercion PetitPotam sampai domain admin
%% desc: Penyerang memaksa host Windows terautentikasi lewat MS-RPRN, menangkap autentikasi NTLM, lalu me-relay-nya ke domain controller.

Fig. 3: Rantai coercion PetitPotam sampai domain adminPenyerang memaksa host Windows terautentikasi lewat MS-RPRN, menangkap autentikasi NTLM, lalu me-relay-nya ke domain controller.

Mekanisme relay-nya sendiri dijelaskan pada subbagian NTLM Relay & LLMNR/NBNS, yang mengumpulkan panduan Responder, ntlmrelayx, mitm6, dan tulisan "The worst of both worlds: Combining NTLM Relaying and Kerberos delegation" (README.md:177-184).

AD CS

Subbagian "Abusing Active Directory Certificate Services" menyediakan dua bahan: "Certified Pre-Owned" dan "AD CS Domain Escalation" (README.md:73-75). Di daftar Tools & Scripts, Certify dipakai untuk menghitung sekaligus menyalahgunakan misconfiguration AD CS, PSPKIAudit dipakai untuk audit (README.md:364-365), dan Locksmith dipakai untuk menemukan serta memperbaiki salah konfigurasi umum pada Active Directory Certificate Services (README.md:469).

ACL yang longgar

Subbagian Insecure ACLs Permission Rights mengumpulkan bahan tentang eksploitasi permission AD yang lemah dengan PowerSploit, eskalasi lewat ACL, penyalahgunaan permission dengan PowerView, ACL attack path BloodHound 1.3, pemindaian privilege dan akun istimewa, "Active Directory Access Control List – Attacks and Defense", serta aclpwn (README.md:133-142). Alat yang dirujuk README untuk jalur ini adalah aclpwn.py (README.md:369), ADACLScanner (README.md:371), dan RACE untuk menjalankan ACL attack (README.md:381).

GPO dan password di SYSVOL

Subbagian Insecure Group Policy Object Permission Rights menautkan "Abusing GPO Permissions", panduan GPO dan OU, template GPO Abuse, dua bagian tulisan GPO Abuse, dan SharpGPOAbuse (README.md:125-131). Untuk menemukan setting rentan di Group Policy, README menyebut Grouper (README.md:379).

Password yang tersimpan di Group Policy Preferences adalah kasus yang berbeda: nilainya sudah ada di dalam SYSVOL, bukan di hak edit GPO. Subbagian "Passwords in SYSVOL & Group Policy Preferences" menautkan "Finding Passwords in SYSVOL & Exploiting Group Policy Preferences" dan "Pentesting in the Real World: Group Policy Pwnage" (README.md:86-88).

⚠️ Menurut deskripsi CVE-2014-1812, implementasi Group Policy tidak menangani distribusi password dengan benar sehingga remote authenticated user memperoleh kredensial sensitif lewat akses ke share SYSVOL (README.md:555). Password yang pernah ditulis ke GPP tetap ada di sana sampai dihapus.

Inventaris salah konfigurasi

Jalur	Subbagian README	Yang disalahgunakan	Rujukan
AD CS	Abusing Active Directory Certificate Services	misconfiguration CA dan template sampai domain escalation	README.md:73-75
ACL	Insecure ACLs Permission Rights	permission Active Directory yang lemah	README.md:133-142
GPO	Insecure Group Policy Object Permission Rights	hak edit GPO yang tidak semestinya	README.md:125-131
SYSVOL	Passwords in SYSVOL & Group Policy Preferences	password di Group Policy Preferences	README.md:86-88
Domain Trust	Domain Trusts	default setting trust dan lemahnya SID filtering	README.md:144-153
DNSAdmins	DNSAdmins	privilege grup DNSAdmins	README.md:95-97

DNSAdmins

Subbagian DNSAdmins menautkan "Abusing DNSAdmins privilege for escalation in Active Directory" dan "From DNSAdmins to Domain Admin, When DNSAdmins is More than Just DNS Administration" (README.md:95-97). Keduanya memperlakukan keanggotaan grup DNSAdmins sebagai titik eskalasi, bukan sebagai tugas administrasi DNS biasa. Tabel Detection memetakan DNSAdmin ke event 770, 541, dan 150 pada server DNS (README.md:572).

Domain Trusts

Subbagian Domain Trusts mengumpulkan panduan menyerang domain trust, pemalsuan trust ticket lintas trust, cara kerja SID filtering pada forest trust, pengambilalihan seluruh forest, "Not A Security Boundary: Breaking Forest Trusts", dan "The Trustpocalypse" (README.md:144-153). Satu CVE di tabel memperkuat jalur ini: CVE-2019-0683 timbul dari default setting forest trust sehingga penyerang di trusting forest dapat meminta delegation TGT untuk identitas dari trusted forest (README.md:549).

⚠️ README menyarankan menghapus trust yang tidak lagi diperlukan dan mengaktifkan SID filtering sesuai kebutuhan (README.md:488). Langkah hardening-nya dibahas di Defense & Detection: Hardening dan Patch.

Halaman terkait

Kerberos Delegation dan Penyalahgunaan Tiket untuk CVE-2020-17049 dan penyalahgunaan delegation.
Credential Dumping untuk pengambilan hash dan tiket setelah eskalasi berhasil.
Persistency untuk penyalahgunaan ACL dan GPO sebagai backdoor, bukan sebagai jalur masuk.
Defense & Detection: Hardening dan Patch dan Deteksi Berbasis Event ID dan Sysmon untuk sisi penutupan dan pemantauannya.