【重大威胁】微软 Windows Server 核心域控制器特权提升高危漏洞（CVE-2025-21298）预警

【漏洞概述】
微软安全响应中心（MSRC）在安全通告中发布了针对 Windows Active Directory（AD）域控制器的关键提权漏洞通报（CVE-2025-21298）。该漏洞源于 Windows Kerberos 认证协议在解构特权属性证书（PAC，Privilege Attribute Certificate）扩展字段时的逻辑签名验证偏差。攻击者只需在目标企业内网中获取任意一台已加域工作站的低权限普通域账号，即可构造带有特权标记的伪造 PAC 扩展结构，诱导域控制器颁发具有 Enterprise Admins（企业域管理员）权限的金票据，实现全域沦陷。

【危害级别】
高危（CVSS 评分 8.8 / 业务影响极大）。Active Directory 是绝大多数大型政企单位内网的统一身份中枢，域控制器失陷意味着攻击者可随意窃取内网所有主机的明文哈希，下发恶意组策略（GPO），导致整个内网瘫痪。

【受影响操作系统】
• Windows Server 2025
• Windows Server 2022
• Windows Server 2019
• Windows Server 2016

【排查与排险方法】
1. 登录各域控制器（DC），使用 PowerShell 执行 `Get-HotFix` 查看系统补丁安装清单；
2. 检查域控安全事件日志，重点监控 Event ID 4768 / 4769 中是否存在异常加密类型（如降级到 RC4）或可疑的高特权服务票据申请；

【处置加固方案】
1. 【安装安全累积更新】务必在所有域控制器上优先安装微软最新发布的月度安全累积质量更新；
2. 【开启强制 PAC 签名验证】根据微软官方最佳实践指引，配置注册表强制启用严格 PAC 验证模式（PacSignatureValidationLevel）；
3. 【内网主机横向隔离】对工作站实施严格的本地管理员凭据隔离（如部署 LAPS），阻断攻击者通过内网初级据点向域控渗透的攻击链条。