Cette veille passe en revue une faille de sécurité sur Microsoft Server 2025, corrigée récemment, qui permettait à un utilisateur malveillant — avant correction — d'acquérir plus de privilèges que prévu.
Qu'est-ce qu'une élévation de privilèges ?
Par diverses manipulations sur un système vulnérable, un attaquant peut passer d'utilisateur standard à administrateur, ou d'un compte de domaine à un compte d'administrateur de domaine. C'est une faille critique : elle permet de prendre le contrôle d'un serveur, d'accéder et de modifier l'Active Directory, et d'y déployer des codes malveillants. En août 2025, on estimait que 39,3 % des CVE corrigées relevaient de ce type de vulnérabilité.
Pourquoi ce sujet ?
En BTS SIO option SISR, nous travaillons très souvent avec Microsoft Server 2025 et des Active Directory. Comprendre comment la sécurité de ces systèmes peut être compromise me semble essentiel, d'autant que les attaques par élévation de privilèges sont très répandues.
La vulnérabilité BadSuccessor
Cette vulnérabilité s'appuie sur le compte de service géré délégué (dMSA), un compte de service managé dans l'Active Directory prévu pour remplacer un compte lors d'une migration. Elle exploite la confiance accordée par le KDC — le composant de Kerberos qui délivre les tickets d'authentification et décide des droits — pour simuler une migration non légitime.
Le prérequis est de disposer du droit de créer ou de modifier un objet dans une unité organisationnelle. En manipulant un attribut du dMSA, un attaquant peut faire reconnaître ce compte comme le « successeur » d'un autre, et ainsi hériter de ses privilèges, faute de vérification côté KDC sur la légitimité de la migration.
Le compte ainsi obtenu hérite :
- des groupes du compte copié ;
- de ses permissions ;
- de ses privilèges sur Kerberos ;
- de ses accès aux ressources et fichiers.
La méthode fonctionne y compris sur les comptes d'administrateurs de domaine, permettant de contrôler tout le domaine.
Statut
La faille est aujourd'hui corrigée : une simple mise à jour de Windows Server 2025 protège contre cette attaque. Son analyse illustre l'importance d'un cycle de mise à jour rigoureux et aide à mieux comprendre le fonctionnement de Kerberos et l'architecture d'un serveur Windows.
