Windows Server 2025’te Kritik Güvenlik Açığı: Golden dMSA ile Kimlik Doğrulama Atlama Riski
Microsoft’un Windows Server 2025 ile tanıttığı yeni Delegated Managed Service Accounts (dMSA) özelliği, Active Directory (AD) altyapıları için ciddi bir güvenlik açığına kapı aralıyor. Semperis güvenlik araştırmacıları, bu zafiyetin detaylarını ortaya koyan ve aynı zamanda sistem yöneticilerinin bu tehdidi anlamasını sağlayan Golden dMSA adında yeni bir araç yayımladı.
Yeni Nesil Hizmet Hesapları: dMSA Nedir?
Windows Server 2025 ile birlikte gelen dMSA (Delegated Managed Service Account), mevcut Group Managed Service Account (gMSA) modelini genişleten ve klasik hizmet hesaplarının yerine geçmesi amaçlanan yeni bir hizmet hesabı türü. Bu yapı sayesinde, eski hizmet hesapları dMSA’ya sorunsuz bir şekilde dönüştürülebiliyor ve yetkileri miras alınarak hizmet kesintisi yaşanmadan geçiş sağlanabiliyor.
Güvenlik Açığı Nasıl Ortaya Çıktı?
Akamai’den güvenlik araştırmacısı Yuval Gordon, Mayıs 2025’te dMSA ile ilişkili bir ayrıcalık yükseltme zafiyeti tespit etmişti. Son olarak, Semperis araştırmacısı Adi Malyanker bu yapıyı daha derinlemesine inceledi ve şifre üretim mekanizmasında kritik bir tasarım hatası keşfetti. Bu hata sayesinde saldırganlar, şifreleri brute-force (kaba kuvvet) yöntemleriyle kolayca üretebiliyor.
Golden dMSA: Kimlik Doğrulama Atlatılıyor
Golden dMSA saldırısı, kötü niyetli kişilerin tüm dMSA ve gMSA hesapları için geçerli şifreleri üretmesine ve sistemde kalıcı erişim elde etmesine olanak tanıyor. Zafiyetin kaynağı, şifrelerin hesaplanmasında kullanılan ve yalnızca 1024 olasılığa sahip tahmin edilebilir zaman tabanlı bileşenler. Bu da brute-force işlemlerini sıradan hale getiriyor.
Microsoft’un Açıklaması
Microsoft, 8 Temmuz 2025’te yaptığı açıklamada bu zafiyetin “etki alanı denetleyicisinin ele geçirilmesi gibi önceden var olan bir ihlalin sonucu olarak değerlendirildiğini” belirtti. Ancak uzmanlar, bu yapının saldırganlar tarafından fark edilmeden AD ortamında yayılmak ve kalıcı olmak için kullanılabileceğine dikkat çekiyor.
Risk Değerlendirmesi
Saldırının etkisi yüksek olsa da, uygulanabilirliği “orta seviye” risk olarak sınıflandırıldı. Çünkü saldırganların başarıya ulaşabilmesi için KDS root key gibi yüksek ayrıcalıklı bir anahtara erişim sağlaması gerekiyor. Bu anahtar sadece Root Domain Admin, Enterprise Admin ya da SYSTEM gibi üst düzey hesaplarda mevcut.
Tehditin Tespiti Zor
Golden dMSA saldırılarına dair güvenlik olayları sistem günlüklerine varsayılan olarak kaydedilmediğinden, tespiti oldukça zor. Bu nedenle saldırıların fark edilmesi için elle yapılandırılmış log ayarları ve gelişmiş denetim süreçleri gerekiyor.
GoldenDMSA Aracı Yayımlandı
Tehdidin boyutunu göstermek ve sistem yöneticilerine yol göstermek amacıyla geliştirilen GoldenDMSA adlı araç, saldırının mantığını simüle edebiliyor. GitHub üzerinden erişilebilen araç sayesinde kurumlar kendi ortamlarını test ederek bu riske karşı önlem alabiliyor.
