Constrained Delegation Abuse

Définition

Le Constrained Delegation Abuse cible les comptes Active Directory configurés avec l'attribut msDS-AllowedToDelegateTo, leur permettant théoriquement d'usurper l'identité de n'importe quel utilisateur du domaine vers un ensemble restreint de services, via les mécanismes Kerberos S4U2Self et S4U2Proxy. L'exploitation offensive de cette configuration repose sur une constatation simple : un attaquant qui compromet un compte disposant de cette délégation contrainte peut, quelle que soit l'identité réelle du compte compromis, se faire passer pour n'importe quel utilisateur du domaine — y compris un compte Domain Admin — vis-à-vis de chacun des services explicitement listés dans msDS-AllowedToDelegateTo, sans avoir besoin de connaître le mot de passe de la victime usurpée. Cette élévation devient particulièrement critique lorsque le service ciblé accepte des SPN multiples associés à un même hôte, comme CIFS, HOST ou HTTP sur une même machine, ce qui permet fréquemment de pivoter d'un service autorisé vers d'autres services non explicitement listés mais accessibles sur le même serveur via une manipulation du SPN demandé dans le ticket forgé. Des outils comme Rubeus et Impacket (getST.py) automatisent l'ensemble de cette chaîne d'exploitation. La remédiation impose un audit systématique des comptes disposant de délégation contrainte, la limitation stricte des services autorisés, et la vérification de l'activation du flag de restriction de transition de protocole sur chaque configuration existante.