ForceChangePassword

Définition

ForceChangePassword est un droit de contrôle d'accès Active Directory, techniquement matérialisé par le droit étendu User-Force-Change-Password, permettant à son détenteur de réinitialiser le mot de passe d'un compte cible sans jamais avoir besoin de connaître le mot de passe actuel de ce compte, contrairement à une opération de changement de mot de passe classique nécessitant la saisie de l'ancien secret. Ce droit, souvent délégué à des équipes support informatique pour faciliter la réinitialisation de mots de passe oubliés par les utilisateurs finaux, constitue un vecteur d'escalade de privilèges direct et immédiat lorsqu'il est accordé sur un compte à privilèges élevés : un attaquant disposant de ForceChangePassword sur un compte administrateur peut simplement lui imposer un nouveau mot de passe de son choix, obtenant instantanément un contrôle total sur ce compte sans nécessiter la moindre autre technique d'exploitation, comme le cassage de hachage ou l'extraction de credentials. Cette action, bien que techniquement légitime lorsqu'elle relève d'un besoin fonctionnel de support, présente un impact fonctionnel notable pour l'utilisateur légitime, dont le mot de passe change brutalement sans son consentement, une conséquence pouvant servir de signal de détection indirect si l'utilisateur signale rapidement l'incident. Les outils comme BloodHound identifient systématiquement ForceChangePassword comme une arête à fort impact dans le graphe des chemins d'attaque du domaine, méritant une revue rigoureuse de ses délégations.