Exchange Windows Permissions

Définition

Exchange Windows Permissions est un groupe de sécurité Active Directory créé automatiquement lors de l'installation de Microsoft Exchange Server, historiquement doté de droits particulièrement étendus sur l'objet domaine lui-même, notamment le droit WriteDACL permettant de modifier directement les permissions de cet objet racine de l'annuaire. Cette configuration, héritée de l'intégration profonde d'Exchange à Active Directory dans les versions historiques du produit, avait pour finalité fonctionnelle de permettre aux serveurs Exchange de gérer certains attributs liés à la messagerie sans intervention manuelle constante d'un administrateur de domaine, mais elle a eu pour effet secondaire de créer un vecteur d'escalade de privilèges à impact maximal. Un attaquant compromettant un compte membre de ce groupe, souvent un compte de service utilisé par l'infrastructure Exchange elle-même et donc potentiellement moins surveillé qu'un compte administrateur classique, peut exploiter le droit WriteDACL pour modifier les permissions de l'objet domaine et s'octroyer les droits DS-Replication-Get-Changes-All, ouvrant directement la voie à une attaque DCSync et à l'extraction complète des hachages du domaine, y compris celui du compte KRBTGT. Cette chaîne d'attaque, largement documentée par les outils de cartographie comme BloodHound, justifie une revue systématique des permissions héritées de l'installation d'Exchange lors de tout audit de sécurité Active Directory ayant hébergé ce produit.