4
Server 2025 - dmsa birgt ungeahnte Risiken für das gesamte AD
Bezug: https://www.akamai.com/blog/security-research/abusing-dmsa-for-privilege ...
In Kürze: wenn man im AD OUs hat, in denen normale Nutzer "spielen" dürfen und dazu bestimmte Berechtigungen delegiert bekommen haben, dann kann "dank" des neuen Sicherheits-Features dmsa von Server 2025 (nur wenn Ihr schon 2025er DCs habt!) von solchen normalen Nutzern aus die gesamte Domäne übernommen werden.
Noch gibt es keinen Fix, aber es sind zumindest Skripte verlinkt, die die Rechte auf OUs prüfen und Alarm schlagen, wenn dies möglich wäre.
In Kürze: wenn man im AD OUs hat, in denen normale Nutzer "spielen" dürfen und dazu bestimmte Berechtigungen delegiert bekommen haben, dann kann "dank" des neuen Sicherheits-Features dmsa von Server 2025 (nur wenn Ihr schon 2025er DCs habt!) von solchen normalen Nutzern aus die gesamte Domäne übernommen werden.
Noch gibt es keinen Fix, aber es sind zumindest Skripte verlinkt, die die Rechte auf OUs prüfen und Alarm schlagen, wenn dies möglich wäre.
Auf Facebook teilen
Auf X (Twitter) teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 672998
Url: https://administrator.de/forum/server-2025-dmsa-birgt-ungeahnte-risiken-fuer-das-gesamte-ad-672998.html
Ausgedruckt am: 23.05.2025 um 18:05 Uhr
4 Kommentare
Neuester Kommentar
Ich würde ja ganz gerne mal unser AD testen. Finde aber nirgendwo das Skript / Toolset was-auch-immer dazu.
Oder ich übersehe etwas.
Gruss Penny.
Oder ich übersehe etwas.
Gruss Penny.
Wenn man auf der verlinkten Site nach "Script" sucht, findet man zu https://github.com/akamai/BadSuccessor
Okay, man sollte schon sorgsam lesen 😒.
Vielen Dank.
Gruss Penny.
Vielen Dank.
Gruss Penny.
