ملاحظة
- تاريخ النشر الأصلي: أبريل 9, 2024
- معرف KB: 5037754
ملاحظة
- انتهى دعم Windows 10 في 14 أكتوبر 2025
- بعد 14 أكتوبر 2025، لن توفر Microsoft تحديثات البرامج المجانية من Windows Update، أو المساعدة التقنية، أو إصلاحات الأمان لـ Windows 10. سيظل الكمبيوتر يعمل، ولكننا نوصي بالانتقال إلى Windows 11.
- معرفة المزيد
سجل التغيير
| تاريخ التغيير | الوصف |
|---|---|
| 9 يناير، 2025 | ضمن "يناير 2025: المرحلة المفروضة بشكل افتراضي" في "قسم الجدول الزمني للتغييرات"، شدد على أن إعدادات مفتاح التسجيل الحالية ستتجاوز السلوك الافتراضي للتحديثات التي تم إصدارها في يناير 2025 أو بعده. |
| 1 أكتوبر 2024 | تم تغيير المرحلة المفروضة بشكل افتراضي من أكتوبر 2024 إلى يناير 2025. |
الملخص
تعالج تحديثات أمان Windows التي تم إصدارها في 9 أبريل 2024 أو بعده رفع الثغرات الأمنية للامتيازات باستخدام بروتوكول التحقق من صحة Kerberos. تعتبر شهادة سمة الامتياز (PAC) ملحقا لتذاكر خدمة Kerberos. تحتوي على معلومات حول مستخدم المصادقة وامتيازاته. يعمل هذا التحديث على إصلاح ثغرة أمنية حيث يمكن لمستخدم العملية انتحال التوقيع لتجاوز عمليات التحقق من أمان التحقق من صحة توقيع PAC المضافة في KB5020805: كيفية إدارة تغييرات بروتوكول Kerberos المتعلقة ب CVE-2022-37967.
بالإضافة إلى ذلك، يعالج هذا التحديث ثغرة أمنية في بعض السيناريوهات عبر الغابات. لمعرفة المزيد حول هذه الثغرات الأمنية، تفضل بزيارة CVE-2024-26248 و CVE-2024-29056.
اتخاذ الإجراء المناسب
ملاحظة
هام الخطوة 1 لتثبيت التحديث الذي تم إصداره في 9 أبريل 2024 أو بعده لن تعالج بشكل كامل مشكلات الأمان في CVE-2024-26248وCVE-2024-29056 افتراضيا. للتخفيف بشكل كامل من مشكلة الأمان لجميع الأجهزة، يجب الانتقال إلى الوضع المفروض (الموضح في الخطوة 3) بمجرد تحديث بيئتك بالكامل.
للمساعدة في حماية البيئة ومنع انقطاع التيار الكهربائي، نوصي بتنفيذ الخطوات التالية:
- تحديث: يجب تحديث وحدات تحكم مجال Windows وعملاء Windows بتحديث أمان Windows تم إصداره في 9 أبريل 2024 أو بعده.
- الشاشة: ستكون أحداث التدقيق مرئية في وضع التوافق لتحديد الأجهزة التي لم يتم تحديثها.
- تمكين: بعد تمكين وضع التنفيذ بالكامل في بيئتك، سيتم تقليل الثغرات الأمنية الموضحة في CVE-2024-26248وCVE-2024-29056 .
خلفية
عندما تقوم محطة عمل Windows بإجراء التحقق من PAC على تدفق مصادقة Kerberos الوارد، فإنها تنفذ طلبا جديدا (تسجيل الدخول إلى تذكرة الشبكة) للتحقق من صحة تذكرة الخدمة. تتم إعادة توجيه الطلب مبدئيا إلى وحدة تحكم المجال (DC) في مجال محطات العمل من خلال Netlogon.
إذا كان حساب الخدمة وحساب الكمبيوتر ينتميان إلى مجالات مختلفة ، يتم نقل الطلب عبر الثقة اللازمة من خلال Netlogon حتى يصل إلى مجال الخدمات ؛ وإلا، فإن DC في مجال حسابات الكمبيوتر يقوم بإجراء التحقق من الصحة. ثم يقوم DC بالاتصال بمركز توزيع المفاتيح (KDC) للتحقق من تواقيع PAC لتذكرة الخدمة ويرسل معلومات المستخدم والجهاز مرة أخرى إلى محطة العمل.
إذا تمت إعادة توجيه الطلب والرد عبر ثقة (في حالة وجود حساب الخدمة وحساب محطة العمل ينتميان إلى مجالات مختلفة)، يقوم كل DC عبر صندوق الثقة بتصفية بيانات التفويض المتعلقة به.
المخطط الزمني للتغييرات
يتم إصدار التحديثات على النحو التالي. لاحظ أنه قد تتم مراجعة جدول الإصدار هذا حسب الحاجة.
9 أبريل 2024: مرحلة النشر الأولي – وضع التوافق
تبدأ مرحلة النشر الأولية بالتحديثات التي تم إصدارها في 9 أبريل 2024. يضيف هذا التحديث سلوكا جديدا يمنع رفع ثغرات الامتياز الموضحة في CVE-2024-26248وCVE-2024-29056 ، ولكنه لا يفرضه إلا إذا تم تحديث كل من وحدات التحكم بمجال Windows وعملاء Windows في البيئة.
لتمكين السلوك الجديد وتقليل الثغرات الأمنية، يجب التأكد من تحديث بيئة Windows بالكامل (بما في ذلك وحدات التحكم بالمجال والعملاء). سيتم تسجيل أحداث التدقيق للمساعدة في تحديد الأجهزة التي لم يتم تحديثها.
يناير 2025: فرض بشكل افتراضي
ستقوم التحديثات التي تم إصدارها في يناير 2025 أو بعده بنقل جميع وحدات التحكم بمجال Windows والعملاء في البيئة إلى الوضع المفروض عليها. سيفرض هذا الوضع سلوكا آمنا بشكل افتراضي. ستتجاوز إعدادات مفتاح التسجيل الموجودة التي تم تعيينها مسبقا تغيير السلوك الافتراضي هذا.
يمكن للمسؤول إبطال إعدادات الوضع المفروض الافتراضية للعودة إلى وضع التوافق .
أبريل 2025: مرحلة التنفيذ
ستؤدي تحديثات أمان Windows التي تم إصدارها في أبريل 2025 أو بعده إلى إزالة دعم مفاتيح التسجيل الفرعية PacSignatureValidationLevelوCrossDomainFilteringLevel وفرض السلوك الآمن الجديد. لن يكون هناك دعم لوضع التوافق بعد تثبيت تحديث أبريل 2025.
المشاكل المحتملة وعوامل تخفيف المخاطر
قد تنشأ مشكلات محتملة، بما في ذلك التحقق من صحة PAC وفشل التصفية عبر الغابات. يتضمن تحديث الأمان الصادر في 9 أبريل 2024 منطقا احتياطيا وإعدادات التسجيل للمساعدة في التخفيف من هذه المشكلات
إعدادات التسجيل
يتم توفير تحديث الأمان هذا لأجهزة Windows (بما في ذلك وحدات التحكم بالمجال). يجب فقط نشر مفاتيح التسجيل التالية التي تتحكم في السلوك إلى خادم Kerberos الذي يقبل مصادقة Kerberos الواردة وينفذ التحقق من صحة PAC.
PacSignatureValidationLevel
| مفتاح التسجيل الفرعي | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters | الوصف |
|---|---|---|
| Value | PacSignatureValidationLevel | |
| نوع البيانات | REG_DWORD | |
| بيانات | 2 | الافتراضي (التوافق مع البيئة غير المصححة) |
| 3 | فرض | |
| إعادة التشغيل مطلوبة؟ | لا |
CrossDomainFilteringLevel
| مفتاح التسجيل الفرعي | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters | الوصف |
|---|---|---|
| Value | CrossDomainFilteringLevel | |
| نوع البيانات | REG_DWORD | |
| بيانات | 2 | الافتراضي (التوافق مع البيئة غير المصححة) |
| 4 | فرض | |
| إعادة التشغيل مطلوبة؟ | لا |
التدقيقKerberosTicketLogonEvents
يمكن نشر مفتاح التسجيل هذا لكل من خوادم Windows التي تقبل مصادقة Kerberos الواردة، بالإضافة إلى أي وحدة تحكم بمجال Windows تقوم بالتحقق من صحة تدفق تسجيل الدخول إلى تذكرة الشبكة الجديد على طول الطريق.
| مفتاح التسجيل الفرعي | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters | الوصف |
|---|---|---|
| Value | التدقيقKerberosTicketLogonEvents | |
| نوع البيانات | REG_DWORD | |
| بيانات | 1 | الافتراضي – سجل الأحداث الهامة |
| 2 | تسجيل كل أحداث Netlogon | |
| 0 | عدم تسجيل أحداث Netlogon | |
| إعادة التشغيل مطلوبة؟ | لا |
سجلات الأحداث
سيتم إنشاء أحداث تدقيق Kerberos التالية على خادم Kerberos الذي يقبل مصادقة Kerberos الواردة. سيقوم خادم Kerberos هذا بالتحقق من صحة PAC، والذي يستخدم تدفق تسجيل الدخول إلى تذكرة الشبكة الجديد.
إجراء تسجيل الدخول إلى Kerberos Ticket
| سجل الأحداث | النظام |
|---|---|
| نوع الحدث | معلوماتي |
| مصدر الحدث | Security-Kerberos |
| معرف الحدث | 21 |
| نص الحدث | أثناء تسجيل الدخول إلى تذكرة شبكة Kerberos، تم تنفيذ الإجراءات التالية لتذكرة الخدمة لحساب الحساب <من مجال <> المجال بواسطة وحدة تحكم> مجال DC<.> لمزيد من المعلومات، يرجى زيارة https://go.microsoft.com/fwlink/?linkid=2262558. <إجراء> |
يتم عرض هذا الحدث عندما اتخذت وحدة تحكم المجال إجراء غير قاتل أثناء تدفق تسجيل الدخول إلى تذكرة الشبكة. اعتبارا من الآن، تم تسجيل الإجراءات التالية:
- تمت تصفية معرفات SID الخاصة بالمستخدم.
- تمت تصفية معرفات SID الخاصة بالجهاز.
- تمت إزالة الهوية المركبة بسبب عدم سماح تصفية SID بهوية الجهاز.
- تمت إزالة الهوية المركبة بسبب عدم سماح تصفية SID باسم مجال الجهاز.
فشل تسجيل الدخول إلى تذكرة Kerberos
| سجل الأحداث | النظام |
|---|---|
| نوع الحدث | الخطأ |
| مصدر الحدث | Security-Kerberos |
| معرف الحدث | 22 |
| نص الحدث | أثناء تسجيل الدخول إلى تذكرة شبكة Kerberos، تم رفض تذكرة الخدمة لحساب الحساب <من مجال><المجال بواسطة DC <> DC للأسباب التالية.> لمزيد من المعلومات، يرجى زيارة https://go.microsoft.com/fwlink/?linkid=2262558. السبب: <السبب> رمز الخطأ: <رمز الخطأ> |
يظهر هذا الحدث عندما رفضت وحدة التحكم بالمجال طلب تسجيل الدخول إلى تذكرة الشبكة للأسباب الموضحة في الحدث.
نسخة احتياطية من تسجيل الدخول إلى تذكرة Kerberos
| سجل الأحداث | النظام |
|---|---|
| نوع الحدث | تحذير أو خطأ |
| مصدر الحدث | Security-Kerberos |
| معرف الحدث | 23 |
| نص الحدث | أثناء تسجيل الدخول إلى تذكرة شبكة Kerberos، تعذر إعادة توجيه تذكرة الخدمة account_name الحساب <من المجال <domain_name> إلى وحدة تحكم المجال لخدمة> الطلب. لمزيد من المعلومات، يرجى زيارة https://go.microsoft.com/fwlink/?linkid=2262558. |
- يظهر هذا الحدث كتحذير إذا لم يتم تعيين PacSignatureValidationLevel وCrossDomainFilteringLevel إلى فرض أو مقيد. عند التسجيل كتحذير، يشير الحدث إلى أن تدفقات تسجيل الدخول إلى تذكرة الشبكة قد اتصلت بوحدة تحكم المجال أو جهاز مماثل لم يفهم الآلية الجديدة. تم السماح للمصادقة بالرجوع إلى السلوك السابق.
- يظهر هذا الحدث كخطأ إذا تم تعيين PacSignatureValidationLevel OR CrossDomainFilteringLevel إلى فرض أو مقيد. يشير هذا الحدث، باعتباره "خطأ"، إلى أن تدفق تسجيل الدخول إلى تذكرة الشبكة اتصل بوحدة تحكم المجال أو جهاز مماثل لم يفهم الآلية الجديدة. تم رفض المصادقة، وتعذر الرجوع إلى السلوك السابق.
فشل Netlogon غير المتوقع
| سجل الأحداث | النظام |
|---|---|
| نوع الحدث | الخطأ |
| مصدر الحدث | موقع Netlogon |
| معرف الحدث | 5842 |
| نص الحدث | صادفت خدمة Netlogon خطأ غير متوقع عند معالجة طلب تسجيل الدخول إلى تذكرة شبكة Kerberos. لمزيد من المعلومات، يرجى زيارة https://go.microsoft.com/fwlink/?linkid=2261497. حساب تذكرة الخدمة: <الحساب> مجال تذكرة الخدمة: <المجال> اسم محطة العمل: <اسم الجهاز> الحالة: <رمز الخطأ> |
يتم إنشاء هذا الحدث كلما واجهت Netlogon خطأ غير متوقع أثناء طلب تسجيل الدخول إلى تذكرة الشبكة. يتم تسجيل هذا الحدث عند تعيين AuditKerberosTicketLogonEvents إلى (1) أو أعلى.
يتعذر إعادة توجيه Netlogon
| سجل الأحداث | النظام |
|---|---|
| نوع الحدث | تحذير |
| مصدر الحدث | موقع Netlogon |
| معرف الحدث | 5843 |
| نص الحدث | فشلت خدمة Netlogon في إعادة توجيه طلب تسجيل الدخول إلى تذكرة شبكة Kerberos إلى وحدة تحكم <المجال DC.> لمزيد من المعلومات، يرجى زيارة https://go.microsoft.com/fwlink/?linkid=2261497. حساب تذكرة الخدمة: <الحساب> مجال تذكرة الخدمة: <المجال> اسم محطة العمل: <اسم الجهاز> |
يتم إنشاء هذا الحدث عندما يتعذر على Netlogon إكمال تسجيل الدخول إلى تذكرة الشبكة بسبب عدم فهم وحدة التحكم بالمجال للتغييرات. بسبب القيود المفروضة على بروتوكول Netlogon، يتعذر على عميل Netlogon تحديد ما إذا كانت وحدة التحكم بالمجال التي يتحدث إليها عميل Netlogon مباشرة هي التي لا تفهم التغييرات، أو ما إذا كانت وحدة تحكم بالمجال على طول سلسلة إعادة التوجيه لا تفهم التغييرات.
- إذا كان مجال تذكرة الخدمة هو نفسه مجال حساب الجهاز، فمن المحتمل أن وحدة التحكم بالمجال في سجل الأحداث لا تفهم تدفق تسجيل دخول تذكرة الشبكة.
- إذا كان مجال تذكرة الخدمة مختلفا عن مجال حساب الجهاز، فإن إحدى وحدات التحكم بالمجال على طول الطريق من مجال حساب الجهاز إلى مجال حساب الخدمة لم تفهم تدفق تسجيل دخول تذكرة الشبكة
هذا الحدث غير متصل بشكل افتراضي. توصي Microsoft بأن يقوم المستخدمون أولا بتحديث أسطولهم بالكامل قبل تشغيل الحدث.
يتم تسجيل هذا الحدث عند تعيين AuditKerberosTicketLogonEvents إلى (2).
الأسئلة المتداولة (FAQ)
لماذا يلزم تحديث أسطولي بالكامل لهذا التصحيح؟
لن تتعرف وحدة التحكم بالمجال التي لم يتم تحديثها على بنية الطلب الجديدة هذه. سيؤدي هذا فشل التحقق من الأمان. في وضع التوافق، سيتم استخدام بنية الطلب القديمة. لا يزال هذا السيناريو عرضة ل CVE-2024-26248 و CVE-2024-29056.
هل سأكون عرضة للخطر إذا لم أقم بتحديث البيئة بأكملها؟
نعم. هذا لأنه قد يتعين توجيه تدفق تسجيل الدخول إلى تذكرة الشبكة الجديد عبر المجالات للوصول إلى مجال حساب الخدمة.
متى يقوم Windows Server بإجراء التحقق من صحة PAC؟
يمكن تخطي التحقق من صحة PAC في بعض الحالات، بما في ذلك، على سبيل المثال لا الحصر، السيناريوهات التالية:
- إذا كانت الخدمة تحتوي على امتياز TCB. بشكل عام، تتمتع الخدمات التي تعمل ضمن سياق حساب النظام (مثل مشاركات ملفات SMB أو خوادم LDAP) بهذا الامتياز.
- إذا كانت الخدمة مشغلة من "جدول المهام".
بخلاف ذلك، يتم إجراء التحقق من صحة PAC على كل تدفقات مصادقة Kerberos الواردة.
لماذا يتم فرض التغييرات فقط على Windows Server يقبل مصادقة Kerberos الواردة وينفذ التحقق من صحة PAC؟
تتضمن CVEs هذه رفع الامتياز المحلي حيث يحاول حساب خدمة ضار أو معرض للاختراق يعمل على محطة عمل Windows رفع امتيازه للحصول على حقوق الإدارة المحلية. وهذا يعني أن وحدها محطة عمل Windows التي تقبل مصادقة Kerberos الواردة هي التي تتأثر.