GenericWrite

Définition

GenericWrite est un droit d'accès Active Directory autorisant son détenteur à écrire dans n'importe quel attribut non protégé d'un objet de l'annuaire, offrant un niveau de contrôle plus restreint que GenericAll puisqu'il n'inclut ni le droit de modifier les ACL de l'objet (WriteDACL) ni celui de changer son propriétaire (WriteOwner). Malgré cette restriction apparente, GenericWrite demeure une permission particulièrement dangereuse en environnement Active Directory, car elle permet d'écrire des attributs clés exploitables dans de nombreuses chaînes d'escalade de privilèges : sur un compte utilisateur, il autorise la modification du champ servicePrincipalName pour préparer une attaque de Targeted Kerberoasting ; sur un compte ordinateur, il permet d'écrire l'attribut msDS-AllowedToActOnBehalfOfOtherIdentity pour établir une configuration RBCD malveillante ; sur un objet de type groupe, il peut permettre l'ajout de membres selon la configuration exacte des attributs autorisés. GenericWrite est systématiquement détecté et exploité par les outils d'analyse de chemins d'attaque comme BloodHound, qui matérialisent cette relation sous forme d'arête directe entre un principal et sa cible potentielle dans le graphe de permissions du domaine. Cette permission résulte typiquement d'une délégation d'administration trop large accordée sur une OU entière plutôt qu'à un objet précis, une erreur de configuration fréquente lors de la mise en place initiale de la délégation Active Directory dans les organisations.