CVE-2021-42287 : usurpation de validation PAC Kerberos KDC (noPac partie 2)

HERMES

SCORE DE MENACE HERMES & USURPATION KDC KERBEROS

Cible : Microsoft Active Directory Kerberos KDC (kdcsvc.dll / lsass.exe)

Confiance : 99%

93 / 100

ÉLEVÉ

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 19 / 20

Activité de menace 19 / 20

Militarisation 20 / 20

Exposition 17 / 20

Prévalence 20 / 20

Impact 20 / 20

Maturité de l'exploit 20 / 20

Potentiel d'attaque en chaîne 20 / 20

⚖️ Divergence & Justification opérationnelle

Le score CVSS v3.1 évalue CVE-2021-42287 à 8.8 (HIGH, CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H). Le score opérationnel Hermes s'établit à 93 (HIGH) en raison de la prise de contrôle immédiate du domaine Active Directory lorsqu'elle est combinée avec la CVE-2021-42278.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2021-42287: Kerberos KDC PAC Validation Impersonation (noPac)VULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTPaperCut MF/NG

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in PaperCut MF/NG documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Compromission intégrale du domaine Active Directory : l'exploit noPac

CVSS v3.1 : 8.8 HIGH : (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) / CWE-287 : authentification incorrecte. Inscrite au catalogue CISA KEV le 19 avril 2022. S’associe à la CVE-2021-42278 pour contraindre le KDC à délivrer un PAC signé avec les droits du contrôleur de domaine.

Résumé exécutif

La CVE-2021-42287 est une faille de validation d’authentification dans le Key Distribution Center (KDC) Kerberos d’Active Directory. Lorsqu’un ticket de service (TGS) est demandé pour un compte introuvable, le KDC ajoute automatiquement un caractère $ et réitère la recherche. En obtenant un TGT sous un nom usurpé (CVE-2021-42278) puis en renommant le compte, un attaquant force le KDC à délivrer un ticket signé sous l’identité du contrôleur de domaine (Domain Admin).

---

1. Contexte technique & matrice logicielle

Paramètre	Spécification technique	Contexte threat intelligence
Identifiant CVE	CVE-2021-42287	Bulletin officiel Microsoft MSRC & CISA KEV
Produit affecté	microsoft:windows	Contrôleurs de domaine Active Directory
Composant vulnérable	Kerberos KDC (kdcsvc.dll / lsass.exe)	Génération de tickets S4U2self & Vérification PAC
Classe de faiblesse	CWE-287: Improper Authentication	Confusion de tickets Kerberos / Usurpation d’identité
Score CVSS v3.1	8.8 (HIGH / Score Hermes 93)	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Mises à jour de sécurité	KB5008102, KB5008380	Correctifs cumulatifs Windows Server
Techniques MITRE ATT&CK	T1558 - Steal or Forge Kerberos Tickets	Accès aux identifiants / Élévation de privilèges
Campagne associée	Campagne IA PaperCut	Utilisée par les essaims d’agents IA pour le Domain Admin

---

2. Décomposition technique & cause racine

Dans kdcsvc.dll, si un compte demandé n’est pas trouvé et ne se termine pas par $, le KDC concatène $ et relance la recherche. En présentant un TGT au nom de DC01 dont le compte a été renommé, le KDC résout DC01$ et crée un PAC authentifiant le contrôleur de domaine réel.

---

3. Scénarios d’attaque & chaînage noPac

1. Usurpation de nom (CVE-2021-42278) : renommage de machine$ en DC01.
2. Demande de TGT : obtention du TGT pour DC01.
3. Restauration du nom : le compte est renommé vers son nom d’origine.
4. Demande de TGS (CVE-2021-42287) : requête S4U2self via le TGT DC01.
5. Résolution avec fallback : le KDC résout DC01$ et génère un ticket de service avec privilèges Domain Admin.

---

4. Détection & remédiation

Surveillez les Event ID 4768 et 4769 sur les contrôleurs de domaine et appliquez la mise à jour KB5008380.