Resource-Based Constrained Delegation

Définition

La délégation contrainte basée sur les ressources (Resource-Based Constrained Delegation — RBCD) est une fonctionnalité AD Windows Server 2012 R2+ qui permet à un service (le 'frontal') d'agir au nom d'un utilisateur pour accéder à une autre ressource (le 'backend'), mais où la permission est configurée sur l'objet ressource (le backend) plutôt que sur l'objet service (le frontal) — à l'inverse de la délégation contrainte classique. Cette différence est exploitable offensivement car n'importe quel compte disposant de droits d'écriture sur msDS-AllowedToActOnBehalfOfOtherIdentity d'un objet AD peut configurer la RBCD pour cet objet. L'attaque RBCD : si un attaquant contrôle un compte avec des droits d'écriture sur l'attribut msDS-AllowedToActOnBehalfOfOtherIdentity d'une machine cible (Computer object), il peut : 1) créer ou contrôler un compte machine avec un SPN (Service Principal Name), 2) écrire l'identifiant de ce compte machine dans msDS-AllowedToActOnBehalfOfOtherIdentity de la machine cible, 3) utiliser S4U2Self + S4U2Proxy pour obtenir un Service Ticket pour un utilisateur arbitraire (Administrator) vers le service cible (CIFS, HOST), 4) utiliser ce ticket pour accéder à la machine cible en tant qu'Administrator. Si un attaquant a compromis un compte avec GenericWrite sur un objet machine (droit fréquemment accordé dans des délégations AD mal configurées, ou obtenu via ACE misconfiguration), RBCD permet une escalade jusqu'à admin local sur cette machine. BloodHound identifie automatiquement les chemins RBCD dans les environnements AD. Les extensions Impacket (rbcd.py, getST.py) implémentent l'exploitation complète depuis Linux.