DNSAdmins Abuse

Définition

Le DNSAdmins Abuse désigne l'exploitation historique d'un groupe de sécurité Active Directory nommé DNSAdmins, conçu pour déléguer l'administration du service DNS intégré à l'annuaire sans accorder les privilèges complets de Domain Admin, mais ayant longtemps disposé, par une conséquence de configuration par défaut, d'un vecteur d'escalade de privilèges permettant d'obtenir une exécution de code avec les privilèges SYSTEM sur le serveur hébergeant le rôle DNS, fréquemment un contrôleur de domaine lui-même. Cette technique reposait sur la capacité des membres de DNSAdmins à configurer le paramètre ServerLevelPluginDll du service DNS Windows, spécifiant une bibliothèque DLL arbitraire chargée automatiquement au redémarrage ou au rechargement du service, un attaquant contrôlant un compte membre de ce groupe pouvant ainsi désigner une DLL malveillante sous son contrôle pour obtenir une exécution de code privilégiée. Microsoft a publié des correctifs et recommandations restreignant progressivement cette exposition, mais la vigilance reste de mise dans les environnements n'ayant pas appliqué les dernières mises à jour de sécurité concernées. Cette technique illustre un cas emblématique de délégation d'administration en apparence limitée à un périmètre fonctionnel précis — la gestion DNS — se révélant en réalité exploitable pour une compromission complète de la machine hébergeant le service, justifiant un audit rigoureux de la composition de ce groupe dans tout environnement Active Directory.