BadSuccessor：Windows Server 2025の新機能dMSAを悪用したActive Directory支配の脅威|セキュリティニュース

投稿日時: 2025年05月26日更新日時: 2025年05月26日

2025年5月、Akamaiのセキュリティ研究者Yuval Gordon氏が発見したWindows Server 2025における新たな特権昇格の脆弱性「BadSuccessor」が、セキュリティ業界で大きな議論を呼んでいます。この脆弱性は、Microsoftが新たに導入した「委任型マネージドサービスアカウント（delegated Managed Service Accounts／dMSA）」の仕様を悪用するもので、ドメイン管理者（Domain Admins）を含む任意のADアカウントを乗っ取ることが可能とされます。

1 脆弱性の本質：dMSAの継承機能が攻撃に悪用される
2 攻撃の成立条件と現実性
3 Microsoftの対応と評価の相違
4 攻撃シナリオと技術詳細
5 検知と緩和策
6 まとめ

脆弱性の本質：dMSAの継承機能が攻撃に悪用される

Windows Server 2025から導入されたdMSAは、従来のレガシーサービスアカウントの置き換えを目的とした新しいアカウント形式で、従来アカウントからの「移行（マイグレーション）」によって、権限や設定を引き継ぐことが可能です。

問題は、この「マイグレーション機構」を疑似的に模倣することで、攻撃者が管理者レベルの権限を持つアカウントに成り済ませることができるという点にあります。特に以下の2つの属性を設定するだけで攻撃が成立します：

msDS-ManagedAccountPrecededByLink：引き継ぐ対象となるアカウントの識別情報
msDS-DelegatedMSAState：移行完了状態（値=2）に設定

このように、実際のマイグレーションを行わずとも、KerberosのPAC（Privilege Attribute Certificate）において該当ユーザーのグループSIDや権限が複製され、実質的な権限の継承が行われるのです。

攻撃の成立条件と現実性

Akamaiの調査によると、91％の企業環境において、非管理者ユーザーがOU（組織単位）上で「CreateChild」権限を保有していることが判明しました。これはつまり、多くの環境で任意のdMSAを作成し、任意のアカウントを「継承」することが可能であるということを意味します。

この攻撃は、対象アカウントのパスワード変更やグループメンバーシップの改ざんを伴わないため、一般的な権限昇格の検知ロジックをすり抜けやすいという点でも非常に危険です。

Microsoftの対応と評価の相違

Akamaiはこの問題を2025年4月1日にMicrosoftに報告。Microsoftは問題の正当性を認めたものの、「中程度（Moderate）」の深刻度と評価し、「将来的にパッチを提供予定」としています。

この判断に対してAkamaiは強く反発し、「CreateChild」権限が広範に存在する現状では、攻撃実現性が非常に高く、現実的な脅威であると主張しています。Microsoftがこの種の危険な挙動を見逃していることは、過去にも同様の指摘があったとし、責任ある公開の一環として詳細な攻撃手法を公開しました。