En bref

Une nouvelle vulnérabilité critique nommée ‘BadSuccessor’ menace la sécurité des environnements Active Directory.

Cette faille permet à des utilisateurs disposant de privilèges standards d’obtenir un contrôle total sur le domaine Windows.

Les chercheurs en sécurité d’Akamai ont découvert que les attaquants peuvent exploiter les comptes de service gérés (MSA) pour élever leurs privilèges.

Cette technique d’attaque compromet particulièrement les mécanismes d’authentification au sein d’Active Directory.

Les organisations utilisant des comptes de service gérés sont particulièrement exposées à cette vulnérabilité.

L’exploitation réussie de BadSuccessor permet à un attaquant de compromettre l’ensemble du domaine, donnant ainsi accès à toutes les ressources de l’entreprise.

Les équipes IT doivent rapidement mettre en place plusieurs mesures préventives essentielles : auditer les permissions des comptes de service, renforcer la surveillance des activités suspectes et appliquer le principe du moindre privilège.

Une attention particulière doit être portée à la gestion des droits d’accès sur les comptes de service gérés.

BadSuccessor : une faille qui change la donne dans Active Directory 🚨

Parlons vrai : quelle petite entreprise ou équipe IT surchargée pense être concernée par une faille technique liée à “la migration de comptes de service” dans Windows Server 2025 ?

Spoiler : pratiquement toutes les entreprises !

Même si vous n’avez jamais entendu parler des “dMSA”, vous figurez sur la liste des cibles potentielles. 😅

Le décor : une nouveauté qui voulait bien faire…

Windows Server 2025 a introduit une nouvelle fonctionnalité : les comptes dMSA (Delegated Managed Service Accounts).

L’objectif initial était de renforcer la gestion des comptes de service contre les attaques de type “Kerberoasting”.

En termes simples, Microsoft voulait empêcher les pirates de décrypter les mots de passe de vos services aussi facilement qu’un code de boîte aux lettres.

Malheureusement, comme souvent en informatique, une nouveauté représente aussi un nouveau terrain d’exploration pour les attaquants. BadSuccessor est cette faille insidieuse qui surgit précisément quand on pensait avoir renforcé la sécurité. 👀

Le vrai problème : la délégation… sans garde-fou 😬

BadSuccessor redéfinit le concept de “pivot” en cybersécurité. Imaginez : un simple utilisateur avec le droit de créer des objets dans une unité organisationnelle Active Directory (OU).

C’est tout ! Pas besoin d’être administrateur, juste ce droit souvent accordé par commodité.

Ce simple utilisateur peut alors créer un objet dMSA et – voici l’astuce dangereuse – faire croire au système que ce compte remplace n’importe quel service existant du domaine, y compris un compte administrateur. 😳

En modifiant deux attributs spécifiques (ceux indiquant “qui succède à qui” et si la “migration” est terminée), l’attaquant obtient un ticket d’accès avec tous les privilèges de la cible.

Sans changer de groupe, sans déclencher d’alertes. L’intrusion reste totalement invisible aux systèmes de surveillance classiques.

Pourquoi c’est grave (et pourquoi ça vous concerne…)

D’abord, cette faille ne nécessite aucune intrusion complexe : juste un accès standard et une manipulation astucieuse des droits.

Selon les chercheurs, 91% des environnements testés contenaient des utilisateurs non-administrateurs capables d’exploiter cette vulnérabilité. Un chiffre alarmant !

Ensuite, même sans avoir activé les dMSA dans votre organisation, un attaquant peut en créer si votre configuration par défaut n’a pas été modifiée. C’est comme si n’importe qui pouvait installer une serrure sur votre porte arrière et garder la clé.

Enfin, au-delà des droits d’accès, l’attaque permet aussi d’extraire des éléments chiffrés comme les anciens mots de passe (clé Kerberos). Ce mécanisme, conçu pour faciliter les migrations, devient une porte dérobée vers tous les sésames du domaine.

Ce que Microsoft en pense… et ce que ça change pour vous

Microsoft a reconnu l’existence de la faille mais considère actuellement le risque comme “modéré”. L’éditeur affirme que les permissions concernées étaient déjà documentées. Cet argument convainc peu d’experts, car en pratique, rares sont les équipes qui surveillent ces droits de création d’objets comme un trésor.

Sans patch immédiat disponible, vous devez vous protéger vous-même, maintenant et même après toute mise à jour future. La meilleure sécurité reste celle que vous maîtrisez activement.

Comment s’en prémunir (au moins le temps que ça bouge chez l’éditeur)

Pas le temps de devenir expert Active Directory ? Voici les mesures essentielles à prendre immédiatement (standards chez POWERiti, votre prestataire informatique à Avignon, mais valables pour tous) :

• Auditez les permissions de création d’objets : identifiez qui possède le droit “CreateChild” dans vos OUs. Désactivez-le partout où ce n’est pas strictement nécessaire.
• Limitez la création de dMSA : réservez cette capacité uniquement aux administrateurs de confiance.
• Ajoutez de la surveillance : configurez des alertes sur la création ou modification de comptes dMSA et leurs attributs sensibles. Un bon système de journalisation reste souvent votre meilleure défense.
• Appliquez le principe du moindre privilège : n’accordez jamais plus de droits que nécessaire. Cette règle fondamentale est rarement appliquée rigoureusement.
• Formez et sensibilisez : expliquez à vos équipes pourquoi ces droits sont sensibles. Un exemple concret vaut mieux qu’une explication technique abstraite.

On ne laisse aucune PME sans filet

Chez POWERiti, notre mission, en tant qu’experts IT, consiste précisément à identifier ce type de vulnérabilité avant qu’elle ne compromette votre activité.

Que vous soyez une TPE sans ressource informatique interne ou une PME avec une équipe débordée, notre accompagnement vise à vous libérer l’esprit.

Nous auditons, surveillons, alertons et agissons. Nous expliquons toujours clairement, sans jargon technique inutile (nous ne vous parlerons pas de “PAC Kerberos” autour d’un café matinal).

Soyons clairs : la cybersécurité n’est pas un luxe réservé aux grandes structures ou aux experts en costume.

C’est désormais une préoccupation quotidienne pour toute entreprise, même la plus petite. Et si, comme le dit l’adage, “un mot de passe, c’est comme un slip 🩲 : ça se change souvent et ça ne se prête pas”, votre Active Directory mérite une surveillance rigoureuse… et une bonne dose d’humilité ! 😉

Que retenir côté TPE et PME ?

• Même sans être une multinationale, vous êtes directement exposé : la complexité technique n’est plus une protection.
• Les failles les plus dangereuses sont souvent celles qu’on néglige, faute de temps ou de ressources.
• La véritable sécurité repose sur l’audit, la restriction des droits et la surveillance continue.
• S’entourer d’un partenaire expert apporte sérénité et souvent, une meilleure productivité !

Vous doutez de la configuration de vos droits Active Directory ? Vous ne savez pas qui peut créer quels objets dans votre environnement cloud ?

Discutons-en simplement, en commençant par un audit. Nous vous promettons des explications claires, un café et des solutions qui tiennent sur un post-it ! ☕📝

Pour conclure

La vulnérabilité BadSuccessor représente un défi majeur pour la sécurité Active Directory des entreprises.

Malgré la classification “risque modéré” par Microsoft, les statistiques d’Akamai démontrent l’urgence d’une action immédiate.

Pour les TPE comme pour les PME, cette menace rappelle que la cybersécurité n’est pas optionnelle mais une responsabilité partagée par tous les acteurs de l’organisation.

L’application rapide de mesures préventives comme l’audit rigoureux des permissions et la mise en place d’une surveillance continue des activités suspectes constitue votre meilleure défense.

Ces actions ne protègent pas uniquement contre BadSuccessor, elles renforcent significativement votre posture de sécurité globale.

Ne reportez pas à demain ce qui doit être fait aujourd’hui. La vigilance proactive reste le fondement d’une stratégie de sécurité efficace face aux menaces en constante évolution.

Sources :

• csoonline.com
• hackread.com
• hackread.com
• thehackernews.com
• it-connect.fr
• linkedin.com
• it-connect.fr
• datadome.co
• acceis.fr