บทความนี้ได้รับการอัปเดตครั้งล่าสุดเมื่อเดือนกุมภาพันธ์ 2026
การมอบหมายสิทธิ์ Kerberos ถูกออกแบบมาเพื่อเพิ่มประสิทธิภาพด้านความปลอดภัยเป็นหลัก โดยเป็นวิธีที่ช่วยให้แอปพลิเคชันสามารถตรวจสอบสิทธิ์ได้อย่างปลอดภัยในนามของผู้ใช้เมื่อเข้าถึงทรัพยากร การปลอมแปลงตัวตนเป็นส่วนหนึ่งของ การรับรอง ไม่ได้แย่โดยเนื้อแท้ แต่กลับเป็นคำตอบที่สวยงามสำหรับปัญหาที่มีมายาวนาน นั่นคือ การอนุญาตให้แอปพลิเคชันเข้าถึงทรัพยากรเฉพาะเมื่อจำเป็นจริงๆ ขณะเดียวกันก็จำกัดขอบเขตข้อมูลที่เข้าถึงได้ ตัวอย่างเช่น บริการส่วนหน้า (front-end service) ที่ทำหน้าที่แทนผู้ใช้เพื่อเรียกใช้ API ของส่วนหลัง สะท้อนถึงการใช้กลไกนี้อย่างถูกต้องและควบคุมได้อย่างดี
เมื่อสภาพแวดล้อมขององค์กรมีการพัฒนา แนวทางนี้จึงกลายมาเป็นมาตรฐานสำหรับวิธีที่แอปพลิเคชันโต้ตอบกับทรัพยากร Kerberos คณะผู้แทนได้นำเสนอวิธีการที่มีโครงสร้างและปลอดภัยสำหรับบริการต่างๆ เพื่อขยายการเข้าถึงของผู้ใช้เฉพาะเมื่อจำเป็น โดยรักษาความสมบูรณ์ของการตรวจสอบสิทธิ์ในระบบที่ซับซ้อน แต่ด้วยการเปลี่ยนแปลงตำแหน่งที่ความน่าเชื่อถือตั้งอยู่ มันยังขยายขอบเขตของพื้นที่นั้นเอง สร้างพื้นที่ให้นักวิจัยได้สำรวจจุดอ่อนที่อาจเกิดขึ้น และเปิดโอกาสให้ฝ่ายตรงข้ามแทรกแซง บิดเบือน หรือละเมิดความน่าเชื่อถือในรูปแบบใหม่ๆ
ดังนั้น การใช้ Kerberos delegation ในทางที่ผิดจึงอาจเป็นอันตรายได้หากตกไปอยู่ในมือคนผิด เช่น หากผู้โจมตีพบวิธีแทรกตัวเองเข้าไปในเส้นทางการ delegation และปลอมตัวเป็นผู้ใช้เพื่อเข้าถึงทรัพยากรสำคัญ หรืออีกขั้นหนึ่ง หากผู้โจมตีค้นพบวิธีปลอมตัวเป็นผู้ใช้อื่นที่อาจมีสิทธิพิเศษมากกว่าที่ตั้งใจไว้ล่ะ
Eliran Partush นักวิจัยด้านความปลอดภัยที่ Silverfortได้ตรวจสอบแนวคิดนี้อย่างละเอียดในงานวิจัยล่าสุดของเขา และได้นำเสนอการวิเคราะห์ทางเทคนิคอย่างครบถ้วนในเอกสารไวท์เปเปอร์ของเขาCVE-2025-60704: ช่องโหว่การตรวจสอบความถูกต้องใน Windows Kerberos S4U: จากการเปลี่ยนโปรโตคอลไปสู่การยกระดับสิทธิ์”
ในเอกสารไวท์เปเปอร์ Eliran อธิบายว่า CVE-2025-60704 เป็นช่องโหว่การยกระดับสิทธิ์ Kerberos ใน Windows ที่เกิดขึ้นจากข้อบกพร่องในการตรวจสอบหลายจุดในกระบวนการ S4U2Self และ S4U2Proxy จุดอ่อนดังกล่าวเกี่ยวข้องกับวิธีการผูกรหัสประจำตัว S4U กับคำขอด้วยวิธีการเข้ารหัส และวิธีการที่ไคลเอ็นต์ตรวจสอบความถูกต้องของคำตอบ KDC ในโหมดการเข้าถึงแบบดั้งเดิม
ข้ามไปอ่านเอกสารทางเทคนิคฉบับเต็มด้านล่างได้เลย หรืออ่านต่อเพื่อดูภาพรวมคร่าวๆ ของงานวิจัยที่นำเสนอในงาน Black Hat EU ที่ลอนดอนในเดือนธันวาคม 2025
เอกสารทางเทคนิค
CVE-2025-60704: ช่องโหว่การตรวจสอบความถูกต้องใน Windows Kerberos S4U: จากการเปลี่ยนโปรโตคอลไปสู่การยกระดับสิทธิ์
อ่านตอนนี้
การค้นพบ CVE
เพื่อเป็นการเปิดเผยข้อมูลอย่างมีความรับผิดชอบ ทีมวิจัยของเราได้รายงานช่องโหว่การมอบอำนาจแบบจำกัดของ Kerberos ให้กับ Microsoft และในวันที่ 11 พฤศจิกายน 2025 พวกเขาได้ออกอัปเดตเป็นส่วนหนึ่งของ Patch Tuesday ซึ่งได้รับคะแนน CVSS 7.5 ช่องโหว่นี้ใช้เทคนิค Man-in-the-Middle ทำให้เราสามารถปลอมตัวเป็นผู้ใช้รายใดก็ได้และในที่สุดก็สามารถควบคุมโดเมนทั้งหมดได้
เหตุใด CVE-2025-60704 จึงมีความสำคัญ
Kerberos เป็นโปรโตคอลแบบหลายชั้นและอาจมีความซับซ้อนในการทำความเข้าใจในตอนแรก เนื่องจากมีการแลกเปลี่ยนข้อความหลายครั้ง ตั๋วที่เข้ารหัส และคีย์เซสชัน การมอบหมายสิทธิ์ (Delegation) ช่วยเพิ่มความซับซ้อนอีกชั้นหนึ่ง โดยมีโมเดลให้เลือกใช้หลายแบบ ได้แก่ แบบไม่มีข้อจำกัด แบบมีข้อจำกัด และแบบอิงทรัพยากร (RBCD) ซึ่งช่วยขยายขอบเขตความน่าเชื่อถือระหว่างบริการต่างๆ ชั้นสุดท้ายที่เพิ่มความซับซ้อนคือ การมอบหมาย Kerberos สามารถทำงานร่วมกับการตรวจสอบสิทธิ์ประเภทอื่นๆ ได้ วัตถุประสงค์หลักของ Kerberos คือการให้แอปพลิเคชันตรวจสอบสิทธิ์ผู้ใช้
การมอบหมายงานจะถือเป็นปัจจัยสำคัญในการพิจารณาความปลอดภัยทางไซเบอร์อยู่เสมอ ด้วยเหตุผลหลักประการหนึ่ง: ความสามารถในการปลอมแปลงตัวตนของผู้ใช้ถือเป็นเป้าหมายที่น่าดึงดูดสำหรับผู้โจมตี ไม่สำคัญว่าองค์กรของคุณจะเป็นแบบเนทีฟบนคลาวด์ หรือคุณมีแอปสำคัญที่ถูกสร้างขึ้นบนสถาปัตยกรรมเดิมโดยเฉพาะ แนวคิดยังคงเหมือนเดิม นั่นคือ แอปพลิเคชันที่ทำหน้าที่แทนตัวตนของผู้ใช้อาจทรงพลังได้หากถูกนำไปใช้ในทางที่ผิด
ขณะที่ทีมของเราเริ่มทำการวิจัย เราได้มองหาวิธีที่จะหลีกเลี่ยงกลไกความปลอดภัยของโปรโตคอลการมอบหมาย Kerberos และนั่นคือจุดที่น่าสนใจที่ปรากฏขึ้น: ใน Kerberos Constrained Delegation (KCD) โปรโตคอลนี้มีกลไกบางอย่างที่ช่วยให้เราไม่เพียงแต่ปลอมตัวเป็นผู้ใช้ที่เราเข้าถึงได้เท่านั้น แต่ยังเพิ่มระดับสิทธิ์และอื่นๆ อีกมากมาย เราจะอธิบายรายละเอียดเพิ่มเติม แต่ขอเก็บไว้ก่อน
ผลกระทบของ CVE-2025-60704 หากถูกใช้ประโยชน์
เรามักคิดว่าภัยคุกคามต่อตัวตนนั้นเกี่ยวข้องกับการเข้าถึงตัวตนที่เป็นเป้าหมาย (ไม่ว่าจะเป็นมนุษย์หรือไม่ใช่มนุษย์ เช่น บัญชีบริการ) แล้วลองดูว่าอะไรเป็นไปได้บ้างโดยใช้สิทธิ์อนุญาตของตัวตนนั้น เราแทบจะไม่เคยคิดถึงเรื่องการเข้าถึงข้อมูลเลย แล้วค่อยเปลี่ยนตัวตนของเราให้เป็นคนอื่นไปเลย
ผลกระทบของสิ่งนี้ชัดเจน: องค์กรใดๆ ที่ใช้ Active Directoryเมื่อเปิดใช้งานความสามารถในการมอบหมาย Kerberos จะได้รับผลกระทบ ซึ่งหมายความว่าบริษัทหลายพันแห่งทั่วโลกได้รับผลกระทบจากช่องโหว่นี้ เนื่องจากการมอบหมาย Kerberos เป็นฟีเจอร์ภายใน Active Directoryผู้โจมตีต้องเข้าถึงสภาพแวดล้อมเบื้องต้นด้วย ข้อมูลประจำตัวที่ถูกบุกรุกเมื่อช่องโหว่ถูกโจมตี ผู้โจมตีอาจเพิ่มระดับสิทธิ์และโจมตีไปยังเครื่องอื่นๆ ในองค์กรโดยตรง ที่แย่กว่านั้น พวกเขาอาจสามารถปลอมตัวเป็นใครก็ได้ในบริษัท ปลดล็อกสิทธิ์การเข้าถึงที่ไม่มีใครรู้ หรืออาจกลายเป็นผู้ดูแลโดเมนได้
การใช้ประโยชน์จาก CVE-2025-60704 จะเป็นส่วนหนึ่งของเกมระยะยาวของพวกเขา การขโมย IP หรือข้อมูลส่วนบุคคล การปลอมแปลงตัวตน ransomwareและอื่น ๆ
การบรรเทา CVE-2025-60704
Kerberos ได้รับความไว้วางใจมานานหลายทศวรรษในฐานะกระดูกสันหลังของ การตรวจสอบสิทธิ์ขององค์กรอย่างไรก็ตาม แม้แต่โปรโตคอลความปลอดภัยที่ออกแบบมาอย่างดีที่สุดก็ยังสามารถถูกบ่อนทำลายและใช้ประโยชน์ได้อย่างเงียบๆ แล้วทีมรักษาความปลอดภัยควรทำอย่างไร?
สำหรับบริษัทใดๆ ที่ใช้ Active Directory, เราแนะนำ พวกเขาแก้ไขช่องโหว่นี้ โดยเร็วที่สุด หากการแก้ไขไม่ใช่ทางเลือกในขณะนี้ ให้ตั้งค่าการแจ้งเตือนใน สคท โซลูชันสำหรับตรวจสอบการมอบหมายสิทธิ์แบบจำกัดของ Kerberos ทั้งหมด
การบรรยายของ Eliran Partush ในงาน Black Hat EU ที่ลอนดอน
หากคุณเข้าร่วมงาน Black Hat ในลอนดอน เราได้อธิบายรายละเอียดทั้งหมดไว้แล้ว:
- การวิจัยเริ่มต้นที่ไหน และทีมวิจัยของเราพบกับ CVE ได้อย่างไร
- กลไกที่ออกแบบมาเพื่อให้โครงสร้างพื้นฐานของคุณปลอดภัยยิ่งขึ้นจะขยายขอบเขตของคุณอย่างไร พื้นผิวการโจมตี.
- พฤติกรรมของโปรโตคอล สมมติฐานความน่าเชื่อถือ และการวิศวกรรมย้อนกลับเล็กน้อยของส่วนภายในของ Windows ที่ช่วยให้เราติดตามข้อบกพร่องลงไปจนถึงต้นตอ
- กลยุทธ์การบรรเทาผลกระทบและวิธีปกป้องสภาพแวดล้อมที่ดีขึ้นโดยอาศัยการมอบหมาย Kerberos
วิดีโอบันทึกการบรรยายจะพร้อมให้รับชมย้อนหลังได้ในเร็วๆ นี้ และเราจะแนบลิงก์ไว้ในโพสต์นี้ จนกว่าจะพร้อมให้รับชม... ดูเอกสารไวท์เปเปอร์ของเรา เพื่ออ่านรายละเอียดทางเทคนิค
สนใจที่จะติดตามการติดต่อและการวิจัยของเราหรือไม่? เชื่อมต่อกับนักวิจัยบน LinkedIn เพื่อติดตามข้อมูลเพิ่มเติม
เกี่ยวกับเอลิรัน ปาร์ทุช Silverfort นักวิจัยด้านความปลอดภัย
Eliran เป็นนักวิจัยด้านความปลอดภัยและผู้เชี่ยวชาญด้านไอที Silverfort ทีมวิจัยที่มีความสนใจเป็นพิเศษเกี่ยวกับโปรโตคอลเครือข่ายและการยืนยันตัวตน โดยเฉพาะอย่างยิ่ง Kerberos เขาชอบความท้าทายอย่าง CTF และการศึกษาโปรโตคอลอย่างลึกซึ้ง เขามีประสบการณ์อันยาวนานในฐานะวิศวกรเครือข่ายและระบบที่ Cisco มานานกว่า 10 ปี และมีความสุขกับการแยกระบบและประกอบกลับเข้าที่เดิมอยู่เสมอ