リモートホストは、「PetitPotam」として知られているNTLMリフレクションの権限昇格の脆弱性の影響を受けます。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたEFSRPCリクエストを送信して、影響を受けるホストを悪意のあるサーバーに接続させる可能性があります。攻撃者はNTLMリレーを利用して標的のホストになりすまし、リモートサービスに対して認証する可能性があります。

KB5005413で説明されている攻撃シナリオの1つでは、これを悪用して、ドメインコントローラーのマシンアカウントとしてNTLMセッションを開始します。その後、このセッションはActive Directory Certificate Services（AD CS）ホストにリレーされ、証明書を取得します。この証明書は、その後ドメイン環境内でラテラルに移動する目的で使用される可能性があります。

検出

Microsoft Windows EFSRPC NTLM Reflectionの権限の昇格（PetitPotam）（リモート）

high Nessus プラグイン ID 152102

バージョン 1.131