Unconstrained Delegation
Die ursprüngliche Kerberos-Delegierung aus Windows 2000, bei der ein Server eine Kopie des Benutzertickets erhält und dadurch als dieser Benutzer gegenüber praktisch allem auftreten kann.
Die Konstruktion existierte, damit ein Webserver Daten im Namen des Benutzers aus einer Datenbank abrufen konnte. Der Preis: Der Server bekommt das gesamte TGT des Benutzers zugeschickt und im Speicher gehalten, ohne jede Einschränkung, gegen welche Dienste es verwendet werden darf. Ein Angreifer, der eine solche Maschine übernimmt, muss daher nur warten, bis sich jemand Privilegiertes dort anmeldet, und dann das Ticket aus LSASS abgreifen. Das Warten lässt sich sogar umgehen: Mit dem Printer Bug oder PetitPotam kann man einen Domänencontroller zwingen, sich zu verbinden — dann steht dessen eigenes Ticket zur Verfügung. Die Gegenmittel: sensible Konten als nicht delegierbar markieren, die Gruppe Protected Users nutzen und auf eingeschränkte Delegierung umstellen.