Windows Server 2025’teki dMSA Açığı, Active Directory Güvenliğini Tehdit Ediyor
Windows Server 2025 ile tanıtılan Delegated Managed Service Accounts (dMSA) özelliği, Active Directory (AD) ortamlarında hizmet hesaplarının yönetimini kolaylaştırmayı hedefliyor. Ancak güvenlik araştırmacısı Yuval Gordon, bu sistemde büyük bir açık tespit etti. Gordon’un “BadSuccessor” adını verdiği bu saldırı yöntemi, bir saldırganın Active Directory’deki herhangi bir kullanıcıyı kolayca ele geçirmesine olanak tanıyor.
Varsayılan Ayarlarla Çalışan Bir Güvenlik Açığı Tespit Edildi
Saldırının en çarpıcı yönü, dMSA özelliği kullanılmasa bile tehdidin geçerli olması. Yani sadece bir Windows Server 2025 etki alanı denetleyicisi olan bir ortamda bu açık sömürülebiliyor. Gordon, saldırının uygulanabilir olduğunu ve varsayılan yapılandırma ile çalıştığını doğruladı. Ayrıca saldırının gerçekleşmesi için yalnızca bir organizasyon biriminde (OU) düşük seviyeli bir yetki yeterli oluyor. Bu yetki çoğu kullanıcıya fark edilmeden verilebiliyor.
dMSA’lar, Microsoft tarafından Group Managed Service Accounts (gMSA) sisteminin daha yetenekli bir versiyonu olarak geliştirildi. Eski hizmet hesaplarının yerine geçebilen bu yeni hesap türü, geçiş sırasında önceki hesabın yetkilerini devralabiliyor. İşte zafiyet tam da bu geçiş sürecinde ortaya çıkıyor.
Araştırmacı, Start-ADServiceAccountMigration komutunun ve migrateADServiceAccount adlı yeni bir LDAP işleminin saldırı için nasıl kullanılabileceğini ortaya koydu. Bu geçiş sırasında, Kerberos kimlik doğrulamasında kullanılan PAC (Privilege Attribute Certificate) verisi, yalnızca dMSA’nın değil aynı zamanda eski hesabın ve ait olduğu grupların SID’lerini de içeriyor.
Bu davranış, dMSA ile ilişkili bir özellik olan msDS-ManagedAccountPrecededByLink özniteliği üzerinden yönlendiriliyor. Bu öznitelik, saldırganlar tarafından manipüle edilerek düşük yetkili bir hesabın yüksek ayrıcalıklara sahip gibi görünmesini sağlıyor.
Akamai güvenlik araştırmacıları, bu sorunu 1 Nisan 2025’te Microsoft’a bildirdi. Microsoft, açığı doğruladı ve bir PoC (kavram kanıtı) analizine rağmen bu güvenlik sorununu “orta düzeyde” olarak sınıflandırdı. Şirket, açığın giderilmesi için henüz bir yama yayınlamadı. Açığın sadece belirli yetkilere sahip kullanıcılar tarafından kötüye kullanılabileceği gerekçesiyle yamalama sürecinin ertelendiği belirtildi. Microsoft, dMSA objeleri için CreateChild yetkisi gibi izinlerin risklerine KB5008383 bülteni üzerinden dikkat çekiyor. Ancak şu an için açık sistemde yer almaya devam ediyor.
Bu açık, Akamai’nin incelediği sistemlerin %91’inde kötü niyetli kişiler tarafından kullanılabilecek durumda. Microsoft’un yama yayınlamaması, kuruluşları kendi önlemlerini almaya zorluyor. Güvenlik uzmanları, ortamlarındaki dMSA yapılandırmalarını dikkatle gözden geçirmelerini ve gereksiz yetkileri sınırlandırmalarını öneriyor. Detaylı korunma stratejileri ve saldırı tespit yöntemleri Akamai blog gönderisinde paylaşıldı.
Windows Server 2025 ile gelen yeniliklerden biri olan dMSA sistemi, amaçlandığı gibi güvenliği artırmak yerine kritik bir açıkla gündeme geldi. Saldırganlar, bu yapı üzerinden Active Directory hesaplarını hedef alabiliyor. Microsoft’un soruna karşı henüz bir çözüm sunmamış olması, kuruluşların güvenlik açısından ciddi önlemler almasını zorunlu kılıyor.
