Как да управлявате промените в проверката на PAC, свързани с CVE-2024-26248 и CVE-2024-29056

Фазата на първоначалното разполагане започва с актуализациите, издадени на 9 април 2024 г. Тази актуализация добавя ново поведение, което предотвратява уязвимостите в областта на повишаване на привилегиите, описани в CVE-2024-26248 и CVE-2024-29056 , но го прилага, освен ако не са актуализирани както домейновите контролери на Windows, така и клиентите на Windows в средата.

За да разрешите новото поведение и да смекчите уязвимостите, трябва да се уверите, че цялата ви среда на Windows (включително домейнови контролери и клиенти) е актуализирана. Събитията за проверка ще бъдат регистрирани, за да помогнат за идентифицирането на устройствата, които не са актуализирани.

Актуализациите, издадени през или след януари 2025 г., ще преместят всички домейнови контролери и клиенти на Windows в средата в наложен режим. Този режим ще наложи защитено поведение по подразбиране. Съществуващите настройки на ключове в системния регистър, които са били предварително зададени, ще заместят тази промяна в поведението по подразбиране.

Настройките по подразбиране на принудителния режим могат да бъдат заместени от администратора, за да се върнат към режим на съвместимост .

Актуализациите на защитата на Windows, издадени през или след април 2025 г., ще премахнат поддръжката за подключовете в системния регистър PacSignatureValidationLevel и CrossDomainFilteringLevel и ще наложат новото защитено поведение. След инсталирането на актуализацията от април 2025 г. няма да има поддръжка за режима на съвместимост .

Този ключ от системния регистър може да бъде разположен както за сървърите на Windows, които приемат входящо Kerberos удостоверяване, така и за всеки домейнов контролер на Windows, който проверява потока за влизане в новия мрежов билет по пътя.

Това събитие се показва, когато домейнов контролер е предприел действие, което не е фатално, по време на потока за влизане в мрежов билет. Към момента са регистрирани следните действия:

• Потребителските SID са филтрирани.
• SID кодовете на устройства са филтрирани.
• Съставната самоличност е премахната поради SID филтриране, което не позволява самоличността на устройството.
• Съставната самоличност е премахната поради филтриране на SID, което не позволява името на домейн на устройството.

Това събитие се показва, когато домейнов контролер е отказал заявката за влизане в мрежов билет поради причините, посочени в събитието.

• Това събитие се показва като предупреждение, ако PacSignatureValidationLevel и CrossDomainFilteringLevel не са зададени на Enforce или Stricter. Когато е регистрирано като предупреждение, събитието показва, че потоците за влизане в мрежов билет са се свързали с домейнов контролер или еквивалентно устройство, което не разбира новия механизъм. Удостоверяването може да се върне към предишно поведение.
• Това събитие се показва като грешка, ако PacSignatureValidationLevel OR CrossDomainFilteringLevel е зададено на Enforce или по-строго. Това събитие като "грешка" показва, че потокът за влизане в мрежов билет е се свързал с домейнов контролер или еквивалентно устройство, което не разбира новия механизъм. Удостоверяването е отказано и не може да се върне към предишното поведение.

Това събитие се генерира всеки път, когато Netlogon се натъкне на неочаквана грешка по време на заявка за влизане в мрежов билет. Това събитие се регистрира, когато AuditKerberosTicketLogonEvents е зададено на (1) или по-висока.

Това събитие се генерира всеки път, когато Netlogon не е успял да завърши влизането в мрежов билет, тъй като домейнов контролер не е разбрал промените. Поради ограничения в протокола Netlogon, клиентът на Netlogon не може да определи дали домейновият контролер, с когото клиентът на Netlogon разговаря директно, е този, който не разбира промените, или е домейнов контролер по веригата на препращане, който не разбира промените.

• Ако домейнът на билета за услугата е същият като домейна на акаунта на машината, вероятно домейновият контролер в регистъра на събитията не разбира потока за влизане в мрежов билет.
• Ако домейнът на билета за услугата е различен от домейна на акаунта на компютъра, един от домейновите контролери по пътя от домейна на акаунта на машината до домейна на акаунта за услугата не е разбрал потока за влизане в билет в мрежата

Това събитие е изключено по подразбиране. Microsoft препоръчва на потребителите първо да актуализират целия си флот, преди да включат събитието.

Това събитие се регистрира, когато AuditKerberosTicketLogonEvents е зададено на (2).

Домейнов контролер, който не е актуализиран, няма да разпознае тази нова структура на искането. Това ще доведе до неуспешна проверка на защитата. В режим на съвместимост ще се използва старата структура на исканията. Този сценарий все още е уязвим за CVE-2024-26248 и CVE-2024-29056.

Да. Това е така, защото новият поток за влизане в мрежов билет може да се наложи да бъде маршрутизиран през домейните, за да достигне до домейна на акаунта за услугата.

Проверката на PAC може да бъде пропусната при определени обстоятелства, включително, но не само, следните сценарии:

• Ако услугата има привилегия в TCB. Обикновено услугите, които се изпълняват в контекста на акаунта в системата (като например SMB файлови дялове или LDAP сървъри), имат тази привилегия.
• Ако услугата се изпълнява от планировчика на задачи.

В противен случай проверката на PAC се извършва за всички входящи потоци на удостоверяване на Kerberos.

Тези CVE включват локално повишаване на привилегиите, когато злонамерен или компрометиран акаунт за услуга, изпълняван на работната станция на Windows, се опитва да увеличи привилегията си, за да получи права за локално администриране. Това означава, че само работната станция на Windows, която приема входящо Kerberos удостоверяване, е засегната.