Kısıtsız yetki devri
Windows 2000'den kalma özgün Kerberos yetki devri: sunucu kullanıcının biletinin bir kopyasını alır ve böylece onun adına kesinlikle her şeye karşı davranabilir.
Tasarım, bir web sunucusunun veritabanından kullanıcı adına veri çekebilmesi içindi. Bedeli, sunucuya kullanıcının tüm TGT'sinin gönderilmesi ve bellekte tutulması; hangi hizmetlere karşı kullanılabileceğine dair hiçbir sınır yok. Böyle bir makineyi ele geçiren saldırganın tek yapacağı, ayrıcalıklı biri oraya kimlik doğrulayana kadar beklemek ve bileti LSASS'tan çekmektir. Beklemek de şart değildir: printer bug ya da PetitPotam ile bir etki alanı denetleyicisini bağlanmaya zorlayabilir, o zaman onun kendi bileti elinize geçer. Karşı önlemler: hassas hesapları devredilemez işaretlemek, Protected Users grubunu kullanmak ve kısıtlı yetki devrine geçmek.