AllExtendedRights

Définition

AllExtendedRights est un droit de contrôle d'accès Active Directory regroupant l'ensemble des droits étendus (Extended Rights) applicables à un objet donné, une catégorie de permissions spécifiques ne se limitant pas à la simple lecture ou écriture d'attributs mais couvrant des opérations privilégiées particulières définies dans le schéma de l'annuaire. Parmi les droits étendus les plus significatifs sur le plan offensif figurent User-Force-Change-Password, permettant de réinitialiser le mot de passe d'un compte sans le connaître préalablement, ainsi que les droits DS-Replication-Get-Changes et DS-Replication-Get-Changes-All, dont la combinaison ouvre directement la voie à une attaque DCSync sur l'ensemble des comptes du domaine. Lorsqu'un principal se voit accorder AllExtendedRights sur un objet, il obtient de facto l'intégralité de ces droits étendus applicables à cet objet précis, ce qui en fait une permission particulièrement critique lorsqu'elle est accordée sur l'objet domaine lui-même ou sur un compte à privilèges élevés. Cette permission résulte fréquemment de délégations d'administration historiques mal calibrées ou de configurations héritées de produits tiers comme Exchange. Les outils d'analyse de chemins d'attaque comme BloodHound identifient systématiquement AllExtendedRights comme une arête à fort impact potentiel dans le graphe de permissions, nécessitant une analyse contextuelle de l'objet ciblé pour évaluer précisément la gravité réelle du chemin d'exploitation qu'elle ouvre.