Una falla crítica en la autenticación Windows Kerberos amplía significativamente la superficie de ataque para relay de credenciales en entornos de Active Directory.

Al abusar de cómo los clientes Windows manejan las respuestas DNS CNAME durante las solicitudes de tickets de servicio Kerberos, los atacantes pueden forzar a los sistemas a solicitar tickets para servicios controlados por el atacante, eludiendo protecciones tradicionales.

El Vector de Ataque

La vulnerabilidad se centra en un comportamiento fundamental: cuando un cliente Windows recibe un registro DNS CNAME, sigue el alias y construye la solicitud del Servicio de Concesión de Tickets (TGS) usando el nombre de host del CNAME como Nombre Principal del Servicio (SPN).

Un atacante posicionado en el camino para interceptar el tráfico DNS puede explotar esto para forzar a las víctimas a solicitar tickets de servicio para objetivos elegidos por el atacante.

La técnica requiere que el atacante establezca capacidades de intermediario en DNS mediante envenenamiento ARP, envenenamiento DHCPv6 (MITM6) o métodos similares.

Cuando una víctima intenta acceder a un activo legítimo del dominio, el servidor DNS malicioso responde con un registro CNAME que apunta a un nombre de host controlado por el atacante, junto con un registro A que resuelve a la IP del atacante.

Esto hace que la víctima se autentique contra la infraestructura del atacante usando un ticket destinado al servicio objetivo del atacante.

Capacidades del Ataque e Impacto:

Las pruebas confirmaron que la explotación funciona en configuraciones predeterminadas en Windows 10, Windows 11, Windows Server 2022 y Windows Server 2025.

El ataque tiene éxito contra servicios sin protección, incluyendo SMB, HTTP y LDAP, cuando no se aplican firmas o Tokens de Vinculación de Canal (CBT). La vulnerabilidad fue revelada de manera responsable a Microsoft en octubre de 2025.

En respuesta, Microsoft implementó soporte para CBT en HTTP.sys y lanzó parches en las actualizaciones de seguridad de enero de 2026 para versiones compatibles de Windows Server, registrada como CVE-2026-20929.

Sin embargo, esta mitigación solo aborda escenarios de relay HTTP. La primitiva subyacente de coerción mediante DNS CNAME permanece sin cambios, dejando otros protocolos vulnerables.

Prueba de Concepto

Los investigadores publicaron una versión modificada de la herramienta MITM6 en GitHub con capacidades de envenenamiento CNAME. La herramienta admite envenenamiento CNAME dirigido contra dominios específicos o todas las consultas DNS.

Incluye modo solo DNS para integración con envenenamiento ARP y permite el paso a través de conectividad crítica de infraestructura. La explotación requiere Python 3.x y un sistema operativo Linux.

Cymulate Research Labs recomienda a las organizaciones implementar defensas en capas:

La investigación subraya una realidad crítica de seguridad: Kerberos en sí no previene inherentemente los ataques de relay. La aplicación de protecciones recae en el nivel de servicio.

Deshabilitar NTLM por sí solo no es suficiente; las organizaciones deben aplicar explícitamente protecciones anti-relay en cada servicio habilitado para Kerberos para eliminar eficazmente el riesgo de relay.