KB5040268: كيفية إدارة ثغرة هجوم حزم Access-Request المقترنة ب CVE-2024-3596

ينطبق على
Windows Server 2008 Datacenter ESU Windows Server 2008 Standard ESU Windows Server 2008 Enterprise ESU Windows Server 2008 R2 Enterprise ESU Windows Server 2008 R2 Standard ESU Windows Server 2008 R2 Datacenter ESU Windows Server 2012 ESU Windows Server 2012 R2 ESU Windows 10, version 1607, all editions Windows Server 2016 Windows 10 Home and Pro, version 21H2 Windows 10 Enterprise and Education, version 21H2 Windows 10 IoT Enterprise, version 21H2 Windows 10 Home and Pro, version 22H2 Windows 10 Enterprise Multi-Session, version 22H2 Windows 10 Enterprise and Education, version 22H2 Windows 10 IoT Enterprise, version 22H2 Windows 11 SE, version 21H2 Windows 11 Home and Pro, version 21H2 Windows 11 Enterprise and Education, version 21H2 Windows 11 IoT Enterprise, version 21H2 Windows 11 SE, version 22H2 Windows 11 Home and Pro, version 22H2 Windows 11 Enterprise Multi-Session, version 22H2 Windows 11 Enterprise and Education, version 22H2 Windows 11 IoT Enterprise, version 22H2 Windows Server 2022 Windows 11 Home and Pro, version 23H2 Windows 11 Enterprise and Education, version 23H2 Windows 11 Enterprise Multi-Session, version 23H2 DO_NOT_USE_Windows 11 IoT Enterprise, version 23H2 Windows 11 SE, version 24H2 Windows 11 Enterprise and Education, version 24H2 Windows 11 Enterprise Multi-Session, version 24H2 Windows 11 Home and Pro, version 24H2 Windows 11 IoT Enterprise, version 24H2

ملاحظة

هام وصلت بعض إصدارات Microsoft Windows إلى نهاية الدعم. لاحظ أن بعض إصدارات Windows قد يتم دعمها بعد تاريخ انتهاء نظام التشغيل الأخير عند توفر التحديثات الأمنية الموسعة (ESUs). راجع الأسئلة المتداولة حول دورة الحياة - التحديثات الأمنية الموسعة للحصول على قائمة بالمنتجات التي تقدم تحديثات الأمان الموسعة (ESU).

سجل التغيير
تاريخ التغيير وصف التغيير
1 أغسطس، 2024
  • تغييرات بسيطة في التنسيق لتسهيل القراءة
  • في تكوين "تكوين التحقق من صحة سمة Message-Authenticator في جميع حزم طلبات الوصول على العميل"، تم استخدام كلمة "message" بدلا من "packet"
أغسطس 5, 2024
  • إضافة ارتباط لبروتوكول مخطط بيانات المستخدم (UDP)
  • تمت إضافة ارتباط لخادم نهج الشبكة (NPS)
أغسطس 6, 2024
  • تم تحديث قسم "الملخص" للإشارة إلى أن هذه التغييرات مضمنة في تحديثات Windows بتاريخ 9 يوليو 2024 أو بعده
  • تم تحديث النقاط النقطية في قسم "اتخاذ إجراء" للإشارة إلى أننا نوصي بتشغيل الخيارات. يتم إيقاف تشغيل هذه الخيارات بشكل افتراضي.
  • تمت إضافة ملاحظة إلى قسم "الأحداث التي تمت إضافتها بواسطة هذا التحديث" للإشارة إلى أنه تمت إضافة معرفات الأحداث إلى خادم NPS بواسطة تحديثات Windows المؤرخة في 9 يوليو 2024 أو بعده

المحتويات

الملخص

تعالج تحديثات Windows التي مؤرخة في 9 يوليو 2024 أو بعده ثغرة أمنية في بروتوكول خدمة مستخدم الطلب الهاتفي للمصادقة عن بعد (RADIUS) المتعلقة بمشاكل تضارب MD5 . بسبب ضعف عمليات فحص التكامل في MD5، قد يعبث أحد المهاجمين بالحزم للوصول غير المصرح به. تجعل ثغرة MD5 حركة مرور RADIUS المستندة إلى بروتوكول مخطط بيانات المستخدم (UDP) عبر الإنترنت غير آمنة ضد تزوير الحزم أو تعديلها أثناء النقل.

لمزيد من المعلومات حول هذه الثغرة الأمنية، راجع CVE-2024-3596 والمستند التقني لهجبتي تصادم RADIUS وMD5.

ملاحظة تتطلب هذه الثغرة الأمنية الوصول فعليا إلى شبكة RADIUS وخادم نهج الشبكة (NPS). وبالتالي، فإن العملاء الذين لديهم شبكات RADIUS المؤمنة ليسوا عرضة للخطر. بالإضافة إلى ذلك، لا تنطبق الثغرات الأمنية عند حدوث اتصال RADIUS عبر VPN.

اتخاذ الإجراء المناسب

للمساعدة في حماية بيئتك، نوصي بتمكين التكوينات التالية. لمزيد من المعلومات، راجع القسم " التكوينات ".
  • قم بتعيين السمة Message-Authenticator في حزم طلبات الوصول . تأكد من أن كل حزم طلبات الوصول تتضمن السمة Message-Authenticator . بشكل افتراضي، يكون خيار تعيين سمة Message-Authenticator متوقفا عن التشغيل. نوصي بتشغيل هذا الخيار.
  • تحقق من السمة Message-Authenticator في حزم طلبات الوصول . ضع في اعتبارك فرض التحقق من صحة سمة Message-Authenticator على حزم طلبات الوصول . لن تتم معالجة حزم طلبات الوصول التي لا تحتوي على هذه السمة. بشكل افتراضي، يجب أن تحتوي رسائل طلب الوصول على خيار سمة الرسالة-مصادقة هو إيقاف التشغيل. نوصي بتشغيل هذا الخيار.
  • تحقق من السمة Message-Authenticator في حزم طلبات الوصول في حالة وجود سمة حالة الوكيل . بشكل اختياري، قم بتمكين الخيار limitProxyState إذا تعذر تنفيذ فرض التحقق من صحة سمة Message-Authenticator على كل حزمة طلبات الوصول . يفرض limitProxyState إسقاط حزم طلبات الوصول التي تحتوي على سمة Proxy-state بدون سمة Message-Authenticator. بشكل افتراضي، يكون الخيار limitproxystate متوقفا عن التشغيل. نوصي بتشغيل هذا الخيار.
  • تحقق من سمة Message-Authenticator في حزم استجابة RADIUS: Access-acceptوAccess-RejectوAccess-Challenge. قم بتمكين الخيار requireMsgAuth لفرض إسقاط حزم استجابة RADIUS من الخوادم البعيدة بدون سمة Message-Authenticator . بشكل افتراضي، يكون الخيار requiremsgauth متوقفا عن التشغيل. نوصي بتشغيل هذا الخيار.

الأحداث التي تمت إضافتها بواسطة هذا التحديث

لمزيد من المعلومات، راجع القسم " التكوينات ".

ملاحظة

ملاحظة تتم إضافة معرفات الأحداث هذه إلى خادم NPS بواسطة تحديثات Windows المؤرخة في 9 يوليو 2024 أو بعده.

معرف الحدث: 4418

تم إسقاط حزمة طلبات الوصول لأنها تحتوي على سمة حالة الوكيل ولكنها تفتقر إلى سمة Message-authenticator . ضع في اعتبارك تغيير عميل RADIUS لتضمين السمة Message-Authenticator . أو، بدلا من ذلك، أضف استثناء للعميل RADIUS باستخدام تكوين limitProxyState .

سجل الأحداث النظام
نوع الحدث الخطأ
مصدر الحدث NPS
معرف الحدث 4418
نص الحدث تم تلقي رسالة Access-Request من عنوان IP/اسم> عميل< RADIUS تحتوي على سمة Proxy-State، ولكنها لم تتضمن سمة Message-Authenticator. ونتيجة لذلك، تم إسقاط الطلب. السمة Message-Authenticator إلزامية لأغراض الأمان. راجع https://support.microsoft.com/help/5040268 لمعرفة المزيد.
معرف الحدث: 4419

هذا حدث تدقيق لحزم طلبات الوصول بدون سمة Message-Authenticator في وجود حالة الوكيل. ضع في اعتبارك تغيير عميل RADIUS لتضمين السمة Message-Authenticator . سيتم إسقاط حزمة RADIUS بمجرد تمكين تكوين limitproxystate .

سجل الأحداث النظام
نوع الحدث تحذير
مصدر الحدث NPS
معرف الحدث 4419
نص الحدث تم تلقي رسالة Access-Request من عنوان IP/اسم> عميل< RADIUS تحتوي على سمة Proxy-State، ولكنها لم تتضمن سمة Message-Authenticator. الطلب مسموح به حاليا نظرا لأنه تم تكوين limitProxyState في وضع التدقيق. راجع https://support.microsoft.com/help/5040268 لمعرفة المزيد.
معرف الحدث: 4420

هذا حدث تدقيق لحزم استجابة RADIUS يتم تلقيها بدون سمة Message-Authenticator عند الوكيل. ضع في اعتبارك تغيير خادم RADIUS المحدد للسمة Message-Authenticator . سيتم إسقاط حزمة RADIUS بمجرد تمكين تكوين الطلب.

سجل الأحداث النظام
نوع الحدث تحذير
مصدر الحدث NPS
معرف الحدث 4420
نص الحدث تلقى وكيل RADIUS استجابة من IP/name> للخادم< بسمة Message-Authenticator مفقودة. الاستجابة مسموحة حاليا نظرا لأنه تم تكوين requireMsgAuth في وضع التدقيق. راجع https://support.microsoft.com/help/5040268 لمعرفة المزيد.
معرف الحدث: 4421

يتم تسجيل هذا الحدث أثناء بدء الخدمة عندما لا يتم تكوين الإعدادات الموصى بها. ضع في اعتبارك تمكين الإعدادات إذا كانت شبكة RADIUS غير آمنة. بالنسبة للشبكات الآمنة، يمكن تجاهل هذه الأحداث.

سجل الأحداث النظام
نوع الحدث تحذير
مصدر الحدث NPS
معرف الحدث 4421
نص الحدث تكوين RequireMsgAuth و/أو limitProxyState في <وضع التعطيل/التدقيق> . يجب تكوين هذه الإعدادات في وضع التمكين لأغراض الأمان. راجع https://support.microsoft.com/help/5040268 لمعرفة المزيد.

التكوينات

تكوين إرسال السمة Message-Authenticator في كل حزم طلبات الوصول على الخادم

يمكن هذا التكوين وكيل NPS من بدء إرسال سمة Message-Authenticator في جميع حزم طلبات الوصول . لتمكين هذا التكوين، استخدم إحدى الطرق التالية.

الطريقة الأولى: استخدام NPS Microsoft Management Console (MMC)

لاستخدام NPS MMC، اتبع الخطوات التالية:

  1. افتح واجهة مستخدم NPS (UI) على الخادم.
  2. افتح مجموعات خوادم Radius البعيدة.
  3. حدد خادم RADIUS.
  4. انتقل إلى المصادقة/المحاسبة.
  5. انقر لتحديد خانة الاختيار "يجب أن يحتوي الطلب" على السمة Message-Authenticator .

الطريقة الثانية: استخدام الأمر netsh

لاستخدام netsh، قم بتشغيل الأمر التالي:

ملاحظة

netsh nps set remoteserver remoteservergroup = <server group name> address = <server address> requireauthattrib = yes

لمزيد من المعلومات، راجع أوامر مجموعة خادم RADIUS البعيد.

تكوين التحقق من صحة سمة Message-Authenticator في كل حزم طلبات الوصول على العميل

يتطلب هذا التكوين السمة Message-Authenticator في كل حزم طلبات الوصول ويسقط الحزمة إذا كان غير موجود.

الطريقة الأولى: استخدام NPS Microsoft Management Console (MMC)

لاستخدام NPS MMC، اتبع الخطوات التالية:

  1. افتح واجهة مستخدم NPS (UI) على الخادم.
  2. افتح عملاء Radius.
  3. حدد عميل RADIUS.
  4. انتقل إلى الإعدادات المتقدمة.
  5. انقر لتحديد يجب أن تحتوي رسائل طلب الوصول على خانة الاختيار سمة مصادقة الرسائل .

لمزيد من المعلومات، راجع تكوين عملاء RADIUS.

الطريقة الثانية: استخدام الأمر netsh

لاستخدام netsh، قم بتشغيل الأمر التالي:

ملاحظة

netsh nps set client name = <client name> requireauthattrib = yes

لمزيد من المعلومات، راجع أوامر مجموعة خادم RADIUS البعيد.

تكوين limitproxystate لجميع العملاء

يمكن هذا التكوين خادم NPS من إسقاط حزم طلبات الوصول الضعيفة المحتملة التي تحتوي على سمة حالة وكيل ، ولكنها لا تتضمن سمة مصادقة الرسائل . يدعم هذا التكوين ثلاثة أوضاع:

  • ‏‏‎‎التدقيق
  • تمكين
  • Disable

في وضع التدقيق ، يتم تسجيل حدث تحذير (معرف الحدث: 4419)، ولكن الطلب لا يزال قيد المعالجة. استخدم هذا الوضع لتحديد الكيانات غير الممتثلة التي ترسل الطلبات.

استخدم الأمر netsh لتكوين استثناء وتمكينه وإضافته حسب الحاجة.

  1. لتكوين العملاء في وضع التدقيق ، شغل الأمر التالي:

    ملاحظة

    netsh nps set limitproxystate all = "audit"

  2. لتكوين العملاء في وضع التمكين ، قم بتشغيل الأمر التالي:

    ملاحظة

    netsh nps set limitproxystate all = "Enable"

  3. لإضافة استثناء لاستبعاد عميل من التحقق من صحة limitProxystate ، قم بتشغيل الأمر التالي:

    ملاحظة

    netsh nps set limitproxystate name = <client name> exception = "Yes"

تكوين requiremsgauth للخوادم البعيدة

يمكن هذا التكوين NPS Proxy من إسقاط رسائل الاستجابة التي يحتمل أن تكون عرضة للخطر بدون سمة Message-Authenticator . يدعم هذا التكوين ثلاثة أوضاع:

  • ‏‏‎‎التدقيق
  • تمكين
  • Disable

في وضع التدقيق ، يتم تسجيل حدث تحذير (معرف الحدث: 4420)، ولكن الطلب لا يزال قيد المعالجة. استخدم هذا الوضع لتحديد الكيانات غير الممتثلة التي ترسل الردود.

استخدم الأمر netsh لتكوين استثناء وتمكينه وإضافته حسب الحاجة.

  1. لتكوين الخوادم في وضع التدقيق ، قم بتشغيل الأمر التالي:

    ملاحظة

    netsh nps set requiremsgauth all = "audit"

  2. لتمكين التكوينات لكل الخوادم، قم بتشغيل الأمر التالي:

    ملاحظة

    netsh nps set requiremsgauth all = "enable"

  3. لإضافة استثناء لاستبعاد خادم من عملية التحقق من صحة requireauthmsg ، قم بتشغيل الأمر التالي:

    ملاحظة

    netsh nps set requiremsgauth remoteservergroup = <remote server group name> address = <server address> exception = "yes"

الأسئلة المتداولة

ما الذي يجب فعله إذا لوحظت حالات فشل طلب VPN بعد حدوث تمكين التكوين بسبب انقطاع الرسائل؟

تحقق من أحداث وحدة NPS النمطية للأحداث ذات الصلة. ضع في اعتبارك إضافة استثناءات أو تعديلات التكوين للعملاء / الخوادم المتأثرة.

هل يلزم إدخال أي تغييرات على التكوين أو اتخاذ أي إجراء إذا كانت شبكة RADIUS آمنة؟

لا، التكوينات التي تم تناولها في هذه المقالة مستحسنة للشبكات غير المؤمنة.

المراجع

وصف المصطلحات القياسية المستخدمة لوصف تحديثات برامج Microsoft

إخلاء المسؤولية عن معلومات الجهات الخارجية

تم تصنيع المنتجات الخارجية التي تتناولها هذه المقالة بواسطة شركات مستقلة عن Microsoft. لا نقدم أي ضمان، ضمني أو غير ذلك، حول أداء هذه المنتجات أو موثوقيتها.

نحن نوفر معلومات جهة اتصال تابعة لجهة خارجية لمساعدتك في العثور على الدعم التقني. قد تتغير معلومات الاتصال هذه بدون إشعار. لا نضمن دقة معلومات جهة الاتصال هذه التابعة لجهة خارجية.