微软活动目录域服务漏洞可致攻击者权限提升

3月10日发布的“重要”安全更新修复了活动目录域服务中的一个高危漏洞。

该漏洞被追踪为 CVE-2026-25177，CVSS 评分为 8.8。它允许经过授权的网络攻击者将其权限提升至完全的 SYSTEM 控制权。

此权限提升漏洞源于对文件和资源名称的限制不当（CWE-641）。

该攻击完全通过网络进行，所需权限极低，攻击复杂度低，且无需用户交互。它对系统的机密性、完整性和可用性造成严重影响。

活动目录域服务漏洞
当攻击者使用特制的 Unicode 字符创建重复的服务主体名称或用户主体名称时，即可触发该漏洞。

这些隐藏字符成功绕过了旨在阻止重复项的正常活动目录安全检查。​要发起攻击，攻击者只需拥有在账户上写入或修改 SPN 的标准权限。

当客户端为存在重复 SPN 的目标服务请求 Kerberos 身份验证时，域控制器会错误地发放一个使用错误密钥加密的票据。

然后，目标服务会拒绝该票据，从而导致拒绝服务攻击，或在 NTLM 仍启用的情况下，迫使网络回退到较旧且安全性较低的 NTLM 身份验证。

除了初始的 SPN 写入权限外，无需直接访问目标服务器。​

成功利用此漏洞将使攻击者获得完全的 SYSTEM 权限，从而完全控制服务器以及更广泛的域环境。

幸运的是，微软目前评估此漏洞“不太可能”被利用，因为在公告发布时，尚未发现公开的利用代码或活跃攻击。

微软与 Semperis 协调发布了官方安全更新以修复此漏洞。网络管理员必须立即应用这些补丁以保护其环境。

这些更新涵盖了大量操作系统，包括 Windows 10、Windows 11 以及从 2012 版到最新 2025 版的 Windows Server 版本。

监控活动目录环境中的异常 SPN 修改，也可作为一种有效的主动防御措施。