Semperis zeigt, wie zwei Kerberos-Logikfehler jeden Domänenbenutzer zum Domain Admin machen können: Der Ausgangspunkt der Recherche eines Semperis-Forschers waren „unsichtbare“ Unicode-Zeichen in Active-Directory-Objekten – am Ende standen zwei Kerberos-Logikfehler: einer, der die Authentifizierung unbemerkt auf NTLM zurückstuft, der andere, mit dem jeder Domänenbenutzer das Passwort eines Domain Admins zurücksetzen kann, ohne es je zu kennen.
Die Recherche hinter KerberLoss (CVE-2026-25177) und ResetNightmare (CVE-2026-27912), die Semperis-Forscher Shai Laron auf der Black Hat USA 2026 vorstellte, begann nicht mit der Suche nach einem Kerberos-Exploit. Sie begann mit einem Vortrag darüber, wie Angreifer bösartige Konten mit Unicode-Zeichen tarnen, die Active Directory nicht darstellt – und endete mit zwei Logikfehlern, die es einem niedrig privilegierten Benutzer erlauben, die Domänenauthentifizierung zu stören, einen Rückfall auf das veraltete NTLM-Protokoll zu erzwingen oder die volle Kontrolle als Domain Admin zu erlangen.
Vom Persistenz-Trick zum Protokollfehler. Ausgangspunkt war ein Vortrag des Forschers Yossi Sassi über Persistenztechniken in Active Directory, der zeigte, wie „unsichtbare“ Unicode-Zeichen in Objektattributen ein bösartiges Konto in Verwaltungstools identisch zu einem legitimen erscheinen lassen. Neugierig, ob der LDAP-Server von Active Directory auch andere unsichtbare Zeichen ähnlich behandelt, stellte Laron eine Liste von 385 Kandidaten-Unicode-Zeichen zusammen und testete jedes gegen einen produktiven Domain Controller. Nur 106 davon ließen sich zuverlässig per LDAP-Abfrage filtern; der Rest wurde entweder als Leerzeichen behandelt oder vom Verzeichnisdienst schlicht ignoriert – eine Lücke, die auch nach Experimenten mit sprachspezifischen LDAP-Sortiererweiterungen bestehen blieb.
Umgehung der Eindeutigkeitsprüfungen. Diese Lücke erwies sich als relevant wegen eines Microsoft-Patches aus dem Jahr 2021 (CVE-2021-42282), der forestweite Eindeutigkeitsprüfungen für drei Werte einführte: User Principal Names, Service Principal Names und SPN-Aliase. Normalerweise wird ein niedrig privilegierter Benutzer beim Versuch, einen doppelten Wert zu setzen, blockiert. Da die nicht filterbaren Unicode-Zeichen jedoch für die Eindeutigkeitsprüfung unsichtbar sind, während sie von LDAP-Abfragen ignoriert werden, konnte Laron Werte registrieren, die vorhandenen identisch erscheinen, ohne die Sperre auszulösen – der Mechanismus hinter KerberLoss.
Drei Wege zur Ausnutzung. Laron demonstrierte drei praktische Auswirkungen dieser SPN-Verwechslung, alle allein mit WriteSPN-Rechten auf einem einzigen Computer- oder Benutzerobjekt im Forest erreichbar. Erstens kann ein Angreifer jeden Dienst stören, der über die Standard-HOST-SPN eines Rechners angesprochen wird – etwa Dateifreigaben oder Remote Desktop –, indem er andernorts eine widersprüchliche SPN registriert, wodurch das Kerberos-Diensttickett mit dem falschen Schlüssel verschlüsselt wird und der Zugriff scheitert. Zweitens kann ein Angreifer, aufbauend auf einer von Forscher Elad Shamir beschriebenen Kerberos-Delegationstechnik, Vertrauenspfade bei eingeschränkter Delegation kapern, ohne überhaupt Schreibrechte auf den zwischengeschalteten Server zu benötigen. Drittens – und für Verteidiger besonders relevant – führt das exakte Duplizieren einer expliziten SPN dazu, dass der Domain Controller einen Fehler wegen mehrdeutigen Principals zurückgibt und den betroffenen Dienst unbemerkt von Kerberos auf NTLM zurückstuft – ein altes Protokoll, das seit Langem für Credential-Relay und Diebstahl von Zugangsdaten missbraucht wird –, während Nutzer keine sichtbare Störung bemerken.
Der Durchbruch: Missbrauch der Passwortänderung. Laron versuchte anschließend, die Logik der 2021 bekannt gewordenen „Dollar-Ticket“- und noPac-Schwachstellen (CVE-2021-42287, CVE-2021-42278) wiederzubeleben, die es Angreifern durch Namensverwechslung erlaubt hatten, jedes Konto zu imitieren, bevor Microsoft die Lücke mit einer verpflichtenden PAC_REQUESTOR_SID-Prüfung schloss. Diese Prüfung läuft während des regulären Ticket-Granting-Service-Austauschs – Laron fand jedoch heraus, dass das Kerberos-Passwortänderungsprotokoll (RFC 3244, Port 464) diesen Austausch komplett überspringt und direkt von einem Ticket-Granting-Ticket zu einer authentifizierten Anfrage springt. Die zur Verhinderung von Namens-Spoofing eingebaute Prüfung greift auf diesem Pfad schlicht nie.
Die Ausnutzung erforderte nichts weiter als ein Recht, das jeder Domänenbenutzer standardmäßig besitzt: die eigene User Principal Name zu ändern. Ein Angreifer setzt die eigene UPN auf den SamAccountName eines Ziels – etwa eines Domain Admins –, was Active Directory zulässt, da die beiden Zeichenketten technisch nicht identisch sind. Eine Ticket-Anfrage für die Passwortänderung mit dieser UPN und dem eigenen Passwort des Angreifers liefert ein Ticket, das kryptografisch weiterhin an das Angreiferkonto gebunden ist, aber den Namen des Ziel-Administrators trägt. Dieses Ticket genügt, um das Passwort des Ziels vollständig zurückzusetzen, ohne das ursprüngliche zu kennen. Einzige reale Voraussetzung: Das Passwort des Ziels muss älter sein als das standardmäßige Mindestalter von einem Tag in Active Directory – eine Schwelle, die praktisch jedes Konto erreicht. Forscher Andrea Pierini steuerte eine Verfeinerung bei, die zeigt, dass sich die Technik mit der Shadow-Credentials-Methode für einen unauffälligeren Angriffspfad über beschreibbare Computerkonten kombinieren lässt. Semperis veröffentlichte anschließend ein Open-Source-PowerShell-Tool namens ResetNightmare, das den gesamten Angriffsablauf automatisiert.
Erkennung und Reaktion. Kunden von Semperis‘ Plattform Directory Services Protector erhalten neue Indikatoren für deaktivierte Eindeutigkeitsprüfungen, versteckte Unicode-Zeichen in Verzeichnisobjekten sowie unautorisierte SPN- oder UPN-Schreibvorgänge. Organisationen ohne dieses Tooling empfiehlt Semperis, SACL-Auditing auf Domain Controllern zu aktivieren: Windows Security Event-ID 5136 protokolliert das Hinzufügen einer widersprüchlichen SPN (Hinweis auf KerberLoss) oder einer UPN, die dem SamAccountName eines anderen Kontos entspricht (Hinweis auf ResetNightmare).
Offenlegung und Patch-Status. Semperis meldete KerberLoss am 26. November 2025 und ResetNightmare am 17. Dezember 2025 an das Microsoft Security Response Center; beide wurden im Januar 2026 bestätigt. Microsoft lieferte die Fixes im regulären Patch-Tuesday-Zyklus – KerberLoss am 10. März, ResetNightmare am 14. April – und stufte beide nur als „Important“ statt „Critical“ ein, eine Einstufung, vor der Semperis warnt: Sie kann dazu führen, dass Organisationen, die strikt nach Schweregrad priorisieren, die Updates übersehen. Über das Patchen aller Domain Controller hinaus empfiehlt Semperis, zu auditieren, welche Konten WriteSPN- oder unnötige Delegationsrechte besitzen, und das Prinzip der geringsten Rechte anzuwenden, um die Angriffsfläche auch auf ungepatchten Systemen zu reduzieren.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de