Microsoft Defender for Identity 漏洞可致未授权权限提升
内容提要
NetSPI 研究人员发现 Microsoft Defender for Identity 存在漏洞（CVE-2025-26685），攻击者可通过伪装成目标系统来诱使 MDI 认证，从而截获 Net-NTLM 哈希值，实现权限提升。微软建议用户迁移至统一 XDR 传感器以避免此漏洞。
关键要点
-
NetSPI 研究人员发现 Microsoft Defender for Identity 存在漏洞（CVE-2025-26685）。
-
该漏洞可使攻击者通过伪装成目标系统诱使 MDI 认证，从而截获 Net-NTLM 哈希值。
-
漏洞源于 MDI 传感器查询网络系统的方式，攻击者可操纵 SAM-R 协议。
-
认证过程使用 SAM-R 协议，导致域服务账户的 Net-NTLM 哈希值被截获。
-
攻击者可利用截获的哈希值进行离线破解或 NTLM 中继攻击，获取 Kerberos 票据。
-
成功利用此漏洞需满足攻击者系统在 DNS 中注册和触发特定 Windows 事件 ID。
-
NetSPI 演示了如何结合 CVE-2025-26685 与已知 ADCS 漏洞实现权限提升。
-
微软建议用户迁移至统一 XDR 传感器以避免此漏洞，改用强制 Kerberos 认证的 WMI 查询。
-
其他防御措施包括将 DSA 配置为组托管服务账户和禁用 LMP 数据收集功能。
延伸解读
漏洞背景与影响
CVE-2025-26685 漏洞的存在使得攻击者能够在 Active Directory 环境中实现未授权的权限提升。该漏洞的利用需要攻击者具备网络访问权限，并能够伪装成目标系统，这意味着企业在网络安全防护上需加强对内部网络流量的监控与管理。
防御措施与建议
微软建议用户迁移至统一 XDR 传感器，以避免该漏洞的影响。此举不仅能消除 SAM-R 协议的使用，还能增强整体安全性。此外，企业应考虑将域服务账户配置为组托管服务账户，并监控异常的认证活动，以降低潜在风险。
攻击链的复杂性
成功利用 CVE-2025-26685 漏洞需要满足特定条件，包括攻击者系统在 DNS 中的注册和触发特定 Windows 事件 ID。这表明，攻击者需要具备一定的技术能力和环境条件，企业应对此类攻击链的复杂性保持警惕，定期进行安全评估。
延伸问答
Microsoft Defender for Identity 中的漏洞是什么？
该漏洞是 CVE-2025-26685，攻击者可通过伪装成目标系统诱使 MDI 认证，从而截获 Net-NTLM 哈希值，实现权限提升。
攻击者如何利用 Microsoft Defender for Identity 的漏洞？
攻击者通过操纵 SAM-R 协议，伪装成目标系统，诱使 MDI 向其发起认证，从而截获 Net-NTLM 哈希值。
微软对该漏洞有什么修复建议？
微软建议用户迁移至统一 XDR 传感器，以避免使用存在漏洞的 SAM-R 协议，并改用强制 Kerberos 认证的 WMI 查询。
成功利用此漏洞需要满足哪些条件？
攻击者系统必须在 DNS 中注册，并触发特定的 Windows 事件 ID，才能成功利用该漏洞。
该漏洞可能导致哪些安全风险？
攻击者可利用截获的 Net-NTLM 哈希值进行离线破解或 NTLM 中继攻击，获取 Kerberos 票据，进而实现权限提升。
除了迁移到统一 XDR 传感器，还有哪些防御措施？
其他防御措施包括将 DSA 配置为组托管服务账户和禁用 LMP 数据收集功能。
