AddMember

Définition

AddMember est un droit d'accès Active Directory, matérialisé techniquement par une permission WriteProperty sur l'attribut member d'un objet groupe, ou par un droit étendu de self-membership, permettant à son détenteur d'ajouter directement des membres à ce groupe sans passer par une procédure d'administration classique. Dans le cadre des attaques Active Directory, ce droit devient critique lorsqu'il porte sur un groupe à privilèges élevés — Domain Admins, Enterprise Admins, ou tout groupe applicatif disposant d'accès sensibles comme les administrateurs Exchange — puisqu'un attaquant disposant d'AddMember sur un tel groupe peut simplement s'y ajouter lui-même, ou ajouter un compte qu'il contrôle déjà, obtenant instantanément l'ensemble des privilèges associés à ce groupe sans nécessiter d'autre exploitation technique. L'outil BloodHound identifie systématiquement ce droit comme une arête directe AddMember dans son graphe d'analyse des chemins d'attaque, la reliant du principal qui détient le droit vers le groupe cible, offrant une visualisation immédiate de ce vecteur d'escalade souvent hérité de délégations d'administration mal calibrées historiquement accordées à des équipes support ou à des comptes de service applicatifs. La remédiation repose sur un audit systématique des permissions AddMember accordées sur l'ensemble des groupes à privilèges du domaine, avec révocation de toute délégation non strictement justifiée par un besoin opérationnel documenté et actuel.