Windows Kerberos 权限提升漏洞

此漏洞的潜在影响非常严重。攻击者可以利用相对路径遍历漏洞，通过构造恶意的路径，访问或修改 Kerberos 认证过程中使用的文件和配置。这可能允许攻击者绕过安全控制，冒充其他用户，甚至完全控制受影响的系统。攻击者可能利用此漏洞获取敏感信息，例如密码哈希和 Kerberos 票证，从而进一步扩大攻击范围。由于 Kerberos 是 Windows 域环境中的核心认证协议，因此此漏洞的利用可能导致整个域的权限提升，造成广泛的破坏。

Organizations heavily reliant on Kerberos authentication, particularly those with legacy systems or complex domain configurations, are at higher risk. Environments with weak access controls or insufficient network segmentation are also more vulnerable. Systems with outdated Kerberos configurations or those that have not been regularly patched are particularly susceptible to exploitation.

• windows / supply-chain:

Get-WinEvent -LogName Security -Filter "EventID = 4625 -MessageText '*\\'"

• windows / supply-chain:

Get-Process | Where-Object {$_.Path -match '\\'} | Select-Object Name, Path

• windows / supply-chain:

Get-ScheduledTask | Where-Object {$_.Actions.Path -match '\\'} | Select-Object TaskName, Actions.Path

1. 2025-08-12Disclosure

   disclosure

1. 已保留2025-07-09
2. 发布日期2025-08-12
3. 修改日期2026-02-26
4. EPSS 更新日期2026-03-23

缓解此漏洞的首要措施是尽快将 Windows 系统更新至修复版本 10.0.26100.4946 或更高版本。如果无法立即更新，可以考虑实施一些临时缓解措施。例如，可以限制 Kerberos 认证过程中使用的文件和目录的访问权限，只允许授权用户访问。此外，可以配置 Windows 防火墙，阻止未经授权的网络流量访问 Kerberos 服务。使用安全信息和事件管理 (SIEM) 系统监控 Kerberos 相关的日志，以便及时发现和响应潜在的攻击活动。升级后，请验证 Kerberos 认证是否正常工作，并检查系统日志中是否存在异常事件。